К содержимому
rxt.sh
English

Образец отчёта

Так выглядит отчёт аудита

Система вымышленная: домен, адреса и цифры придуманы. Находки — типовые для интернет-магазина на 1С-Битрикс на двух серверах. Настоящий отчёт устроен так же и остаётся у вас, даже если дальше вы не продолжите.

Запросить аудит

Образец · система вымышленная

Сайт
shop.example.com
Стек
1С-Битрикс, PHP 8.1, MySQL 8
Серверы
2 выделенных, CDN впереди
Срок аудита
5 рабочих дней

Коротко

Три находки могут стоить денег уже сейчас: база клиентов скачивается по прямой ссылке, сервер отвечает в обход CDN, а резервные копии лежат на том же диске и ни разу не восстанавливались. Каталог под нагрузкой отвечает за 2,8 секунды, и почти всё это время уходит на настройки сервера, а не на код. Исправление — 160 000 ₽ и две недели; первые две находки закрываются в день подписания.

01

Находки — по возможным потерям

  1. 01 · Критично

    Дамп базы доступен из интернета

    Что увидели
    В веб-корне лежит /backup/db_2026-10-01.sql.gz, 1,4 ГБ. Отдаётся без авторизации.
    Чем грозит
    Утечка базы покупателей: телефоны, адреса, история заказов. Для данных граждан РФ — ещё и вопрос по 152-ФЗ.
    Исправление
    Настройка: убрать файл, запретить отдачу архивов и дампов на уровне nginx.
    Трудоёмкость
    Час, в день подписания
    Как проверить самим · 01
    $ curl -sI https://shop.example.com/backup/db_2026-10-01.sql.gz
HTTP/2 200
content-length: 1503238553

  2. 02 · Критично

    Сервер отвечает в обход CDN

    Что увидели
    Адрес бэкенда находится по старой DNS-записи mail.shop.example.com и принимает запросы к сайту напрямую.
    Чем грозит
    Защита CDN от DDoS и его фильтрация не действуют: атакующему достаточно знать адрес.
    Исправление
    Настройка: пускать на 443 только адреса CDN, убрать запись, вынести почту на отдельный адрес.
    Трудоёмкость
    Полдня
    Как проверить самим · 02
    $ curl -sI --resolve shop.example.com:443:203.0.113.20 \
    https://shop.example.com/
HTTP/2 200

  3. 03 · Критично

    Бэкапы на том же диске и ни разу не восстанавливались

    Что увидели
    Ночной скрипт пишет архив сайта и базы в /var/backups того же сервера. Хранятся 3 последние копии.
    Чем грозит
    Отказ диска, шифровальщик или ошибка администратора уносят и сайт, и все копии сразу.
    Исправление
    Перестройка: restic в S3 у другого провайдера с шифрованием, 30 дней хранения, ежемесячное учебное восстановление.
    Трудоёмкость
    Два дня

  4. 04 · Важно

    Каталог: p95 — 2,8 секунды под нагрузкой

    Что увидели
    При 20 запросах в секунду p95 TTFB страниц каталога — 2,8 с. OPcache в 128 МБ заполнен полностью и сбрасывается; у трёх компонентов каталога выключен кеш; запрос фильтра идёт 1,2 с без индекса.
    Чем грозит
    Медленный каталог — меньше заказов и хуже позиции в поиске. Под распродажей сайт упирается в потолок раньше рекламы.
    Исправление
    Настройка: OPcache 512 МБ, кеш компонентов, индекс под фильтр. Цель — p95 до 600 мс при той же нагрузке.
    Трудоёмкость
    Три дня, с замером до и после
    Как проверить самим · 04
    $ php -r "print_r(opcache_get_status()['memory_usage']);"
[used_memory] => 134217728
[free_memory] => 0

  5. 05 · Важно

    PHP-FPM: 5 процессов на сервере с 16 ГБ памяти

    Что увидели
    pm.max_children = 5 — значение по умолчанию. Под нагрузкой запросы стоят в очереди, память занята на 30%.
    Чем грозит
    Сайт «тормозит» при свободных ресурсах: шестой одновременный покупатель ждёт.
    Исправление
    Настройка: пул под реальное потребление памяти процессом, лог медленных запросов PHP.
    Трудоёмкость
    Часть работ по каталогу

  6. 06 · Важно

    Админка открыта всему интернету

    Что увидели
    /bitrix/admin/ доступна с любого адреса, двухфакторная авторизация выключена, в логе — подбор паролей.
    Чем грозит
    Подобранный пароль менеджера — это полный доступ к магазину и базе.
    Исправление
    Настройка: доступ к админке только из приватной сети или по списку адресов, 2FA, блокировка подбора.
    Трудоёмкость
    Полдня

  7. 07 · Важно

    Два модуля с опубликованными уязвимостями

    Что увидели
    Ядро и два сторонних модуля не обновлялись больше года; для обоих модулей есть публичные описания уязвимостей.
    Чем грозит
    Типовой путь взлома магазинов: известная уязвимость в модуле, который никто не обновляет.
    Исправление
    Обновление на стенде, проверка заказа и оплаты, выкат в окно. Если обновления нет — WAF-правило на уязвимый путь.
    Трудоёмкость
    Два дня

  8. 08 · Важно

    Письма о заказах попадают в спам

    Что увидели
    SPF превышает лимит в 10 DNS-запросов, DKIM-подписи нет, DMARC не опубликован.
    Чем грозит
    Покупатель не видит подтверждение заказа и пишет в поддержку — или не возвращается.
    Исправление
    Настройка: SPF в лимите, DKIM, DMARC с отчётами; транзакционные письма — с отдельного домена.
    Трудоёмкость
    День

  9. 09 · В порядке

    TLS и сертификаты

    Что увидели
    TLS 1.2 и 1.3, современные наборы шифров, сертификаты продлеваются автоматически.
    Чем грозит
    Нет.
    Исправление
    Оставить как есть.
    Трудоёмкость
    —

02

Счёт за серверы

Второй сервер загружен на 15% и держит только cron-задачи. Их можно перенести на первый и заменить второй сервером меньшей конфигурации под реплику базы — около 40% экономии на этой строке счёта. Это рекомендация, а не часть исправления: решаете вы.

03

Цена и срок исправления

Настройки (находки 1, 2, 4, 5, 6, 8)
95 000 ₽
Перестройка бэкапов (3)
35 000 ₽
Обновление модулей (7)
30 000 ₽
Итого, фиксированно
160 000 ₽
Срок
Две недели

Цена называется в отчёте и по ходу не меняется. Можно взять часть списка — тогда считаются только выбранные строки.

Ваш отчёт будет про вашу систему: другие находки, другой порядок, другая цена. Форма — эта.

Запросить аудитОб аудите