Аудит существующего сайта: что проверяют перед доработкой

Просьба «оцените доработку нашего сайта» без доступа к коду — просьба угадать. Разброс между аккуратным проектом и запущенным по одной и той же задаче достигает пяти раз.

Аудит превращает угадывание в расчёт. Стоит он 40–120 тысяч, занимает 1–2 недели и почти всегда окупается на первой же задаче.

Что проверяют

Код

Структура, читаемость, повторы, соответствие принятым для платформы соглашениям. Наличие тестов. Насколько логика перемешана с оформлением. Есть ли места, которые страшно трогать.

Главный вопрос здесь не «красиво ли написано», а «сколько будет стоить изменение». Именно на это заказчик и тратит деньги дальше.

Зависимости

Список библиотек с версиями и датами выпуска. Проверка на известные уязвимости. Наличие компонентов, которые больше не поддерживаются автором.

Это самая быстрая часть аудита и самая часто результативная. Двухлетний проект без обновлений почти гарантированно содержит зависимости с известными дырами.

Безопасность

Проверка типовых слабых мест: обработка данных из форм, загрузка файлов, права доступа, хранение паролей, наличие секретов в репозитории, настройки заголовков, доступность служебных путей.

Отдельно — где хранятся персональные данные и куда они уходят с сайта.

Производительность

Замеры реальных страниц, поиск тяжёлых запросов к базе, оценка кеширования, размеры ресурсов. С конкретными числами, а не «работает медленно».

Инфраструктура

Конфигурация сервера, версии окружения, настройка резервных копий и проверка их восстановимости, мониторинг, сертификаты, процесс выкладки.

Здесь чаще всего обнаруживаются самые неприятные сюрпризы: копии не делаются полгода, доступы к домену у неизвестно кого, выкладка идёт правкой файлов прямо на сервере.

Поисковая оптимизация — техническая часть

Индексация, карта сайта, robots, дубли страниц, коды ответов, микроразметка, метаданные, скорость. Не содержание и не семантика — только техника.

Что должно быть в отчёте

Отчёт, состоящий из списка проблем, бесполезен. Полезный отчёт содержит:

• Разделение по критичности. Что чинить немедленно (безопасность, потеря данных), что в ближайший квартал, что можно не трогать.
• Оценку каждой позиции в часах. Иначе непонятно, что делать с выводами.
• Ответ на главный вопрос: дорабатывать существующее или переписывать. С обоснованием и цифрами.
• Оценку ваших задач с учётом найденного. Ради этого аудит обычно и заказывают.

Кому заказывать

Важный момент: у аудитора не должно быть интереса в определённом выводе. Команда, которая после аудита будет переписывать сайт, с большой вероятностью найдёт основания для переписывания.

Разумнее заказать аудит одной команде, а работы — по результатам, возможно другой. Стоимость аудита при этом невелика на фоне цены неверного решения.

Если так не получается — попросите обосновать выводы фактами: не «код плохой», а «вот участок, он повторяется в шести местах, изменение требует правки во всех шести».

Что подготовить

Аудит требует доступа. Подготовьте заранее: доступ к репозиторию (или архив кода), доступ к серверу на чтение, доступ к админке, схему интеграций, контакт того, кто это разрабатывал, если он есть.

Отсутствие доступа к коду — само по себе результат аудита, причём худший из возможных: значит, ваш сайт вам не принадлежит.