Аудит безопасности сайта: цена и от чего она зависит

Почему цены так сильно отличаются

Слово «аудит» на рынке используют для совершенно разных услуг. Под одним названием скрываются автоматический прогон сайта через сканер, ручная проверка по чек-листу и многодневная имитация атаки опытной командой. Это разный объём работы, разная квалификация исполнителей и, как следствие, разная цена.

Первый вариант занимает несколько часов, и значительную часть работы выполняет программа. Второй требует специалиста, который вручную проверяет формы, личный кабинет, роли пользователей и настройки сервера. Третий предполагает, что эксперт мыслит как злоумышленник: объединяет мелкие недочёты в цепочку и доказывает, что через них можно добраться до базы клиентов или платёжных данных.

Поэтому сравнивать цены имеет смысл только после того, как вы выяснили, что именно входит в услугу. Ориентиры ниже относятся к рынку России и актуальны на 2025 год. Это усреднённые диапазоны, итоговая сумма зависит от конкретного исполнителя и проекта.

Что влияет на итоговую сумму

Даже внутри одного уровня цена может отличаться в два-три раза. Исполнитель оценивает трудозатраты: сколько времени уйдёт на изучение системы, проверку каждой функции и подготовку отчёта. Чем сложнее сайт, тем больше часов потребуется.

Отдельно учитывается формат проверки. При «чёрном ящике» специалист действует как внешний злоумышленник без доступа к коду и учётным записям. При «белом ящике» он получает исходный код и документацию, поэтому находит больше уязвимостей, но и работы становится больше. «Серый ящик» (доступ к тестовым аккаунтам) — золотая середина, которую чаще всего выбирают для коммерческих сайтов.

И последнее: на цену влияет репутация исполнителя. Компании с сертифицированными специалистами и отлаженной методологией берут больше, но и отвечают за качество отчёта.

Как видно из таблицы, дорогой аудит нужен не каждому. Для сайта-визитки с формой обратной связи достаточно экспресс-проверки: актуальность CMS и плагинов, HTTPS, настройки сервера, защита форм от спама и инъекций. Для интернет-магазина с личным кабинетом, промокодами и онлайн-оплатой этого мало: придётся проверять бизнес-логику, права доступа и обработку платежей.

Необходимо учитывать и юридическую сторону. Если вы собираете персональные данные, на вас распространяется 152-ФЗ, а ответственность за утечки в последние годы заметно ужесточилась. Здесь стоимость аудита нужно соотносить не с «красивым» отчётом, а с потенциальными штрафами и репутационным ущербом.

Обратите внимание на последний шаг. Многие подрядчики включают повторную проверку в стоимость, другие считают её отдельной услугой. Уточните это заранее: без перепроверки вы не узнаете, действительно ли ваши разработчики закрыли дыры, или только сделали вид.

Также стоит понимать, что аудит не исправляет уязвимости. Он их находит и описывает. Работы по устранению (обновление CMS, переписывание уязвимого кода, настройка сервера) обычно оплачиваются отдельно, и их стоимость нужно закладывать в бюджет.

Как использовать этот перечень

Покажите чек-лист подрядчику перед подписанием договора и спросите, какие пункты он проверит вручную, а какие оставит сканеру. Если на вопрос о бизнес-логике и контроле доступа вам отвечают общими словами, вероятно, вы покупаете только автоматический отчёт.

Хороший исполнитель без труда расскажет, как именно он проверяет каждый пункт, какие инструменты использует и что покажет в итоговом документе. Это важнее, чем красивое портфолио или громкие названия сертификатов.

Отдельно стоит сказать про «подозрительно низкие» цены. Если за ручной аудит интернет-магазина просят 5–10 тысяч рублей, это означает, что на проект выделят несколько часов, а отчёт составят на основе шаблона. Такой документ формально закроет требование «сделать аудит», но реальных рисков не снизит.

С другой стороны, высокая цена не гарантирует качества. Просите коммерческое предложение с детализацией по этапам и срокам. Прозрачная смета, где видно, сколько часов отведено на ручное тестирование, — один из лучших индикаторов добросовестности исполнителя.

Сложно измерить выгоду от инцидента, которого не произошло, но можно оценить цену последствий. Простой интернет-магазина на несколько дней, восстановление из бэкапа, уведомление клиентов, возможные штрафы и потеря лояльности почти всегда обходятся дороже, чем качественный аудит.

Отдельный риск связан с поисковыми системами. Если сайт заражён вирусом или используется для фишинга, Яндекс Вебмастер и Google Search Console покажут предупреждение, а в выдаче рядом со ссылкой может появиться пометка об опасности. Восстановление позиций после такого инцидента занимает недели, а иногда и месяцы.

Как оптимизировать расходы на аудит

Сэкономить можно без потери качества. Во-первых, заранее подготовьте документацию: список доменов, перечень ролей, описание интеграций и тестовые учётные записи. Чем меньше времени исполнитель тратит на разбирательство, тем ниже трудозатраты.

Во-вторых, разделите проект на части. Если у вас основной сайт, блог и закрытый личный кабинет, самую глубокую проверку имеет смысл провести для кабинета, где хранятся данные и проходят платежи, а блог проверить базово.

В-третьих, рассмотрите регулярный формат. Ежегодный аудит плюс ежемесячный мониторинг уязвимостей (примерно 10 000–40 000 ₽ в месяц в зависимости от масштаба) нередко выгоднее, чем разовая масштабная проверка раз в несколько лет, когда накопилось множество проблем. Для начала можно использовать бесплатные инструменты: Яндекс Вебмастер и Google Search Console сообщают о заражении и подозрительных изменениях, а встроенные проверки хостинг-провайдера выявляют вирусы в файлах.