Что находит AuditGuard на реальных сайтах

Отсутствует Content-Security-Policy — страница оформления заказа принимает встроенные скрипты без ограничений. XSS уязвимость в comment-поле позволяет вставить iframe с phishing-страницей для кражи данных карты.

TLS 1.0 и 1.1 включены — сервер принимает соединения по устаревшим протоколам. Уязвим к атаке POODLE (CVE-2014-3566). Платёжные системы Stripe, ЮКassa требуют минимум TLS 1.2.

Source maps опубликованы в production — файлы *.js.map доступны публично. Атакующий видит оригинальный TypeScript-код, включая логику скидок и внутренние endpoint'ы.

Server: nginx/1.18.0 — раскрывается точная версия. Nginx 1.18.0 содержит известные уязвимости, доступные в NVD. Рекомендуется: server_tokens off.

Нет HSTS — HTTP-версия сайта не перенаправляет принудительно. Man-in-the-middle атаки на незащищённых сетях (кафе, аэропорт) позволяют перехватить сессию.

Google Tag Manager загружается без SRI — если аккаунт GTM скомпрометирован, атакующий может внедрить произвольный JS на все страницы магазина.

CORS: Access-Control-Allow-Origin: * на /api/v1/users — публичный эндпоинт возвращает список пользователей с email без аутентификации при CORS-запросе с любого домена.

Нет X-Frame-Options / frame-ancestors — страница входа может быть встроена в iframe. Clickjacking атака: пользователь думает что вводит данные на своём сайте, а на самом деле — в невидимый фрейм с CRM.

CSP только для main.html, не для /login и /signup — политика применена непоследовательно, критические страницы незащищены.

Robots.txt блокирует /api/ — это не защита. Robots.txt не скрывает от атакующих, только от добросовестных поисковиков. Реальная защита — аутентификация на уровне API.

Open Graph / meta description обновляются не для всех путей — /blog/* использует шаблонный description вместо уникального для каждой статьи. Влияет на CTR в поиске.

WordPress версия в генераторе Meta — <meta name="generator" content="WordPress 6.4.1">. Атакующие сканируют этот тег для поиска версий с известными CVE. Рекомендуется: убрать тег через remove_action('wp_head', 'wp_generator').

Нет Subresource Integrity (SRI) на внешних шрифтах — Google Fonts загружается без hash-проверки. При компрометации CDN возможна подмена файла.

23 страницы без явного canonical — WordPress генерирует дублирующийся контент по параметрам ?page=2, ?cat=1. Поисковик может понизить ценность оригиналов.

Изображения без атрибута alt (47 из 120) — поисковики не понимают контент изображений, снижается ранжирование по тематическим запросам. Кроме того — нарушение WCAG доступности.

Нет JSON-LD разметки Article на постах — поисковики Google и Яндекс используют структурированные данные для rich snippets. AI-системы (Perplexity, ChatGPT) доверяют размеченному контенту при цитировании.