Шесть проверок перед запуском за минуту и готовое исправление для каждой проблемы — вставьте его в свой ИИ-инструмент.
Работает сLovableBoltCursorReplitv0Telegram-ботыбета
Примерdemo.okaytoship.com
11 окт. 2026 г.
Рано запускать
22 проблемы · критических: 2
Настоящий скан нашего тестового приложения. Открыть полный пример
Каждая проверка охватывает шесть направлений. У каждого — статус: «В порядке», «Есть замечания» или «Критично».
Ключи от базы данных и платежей в коде страницы, таблицы, которые может прочитать кто угодно, отсутствующие заголовки безопасности и открытые файлы вроде .env и source maps.
Работает ли оплата, может ли посетитель поменять цену в браузере и нет ли секретных платёжных ключей в коде.
Видят ли поисковики ваш контент или пустую страницу. Заголовки, описания, превью ссылок, sitemap и robots.txt.
Core Web Vitals, вес скриптов и картинок — замеряем Lighthouse в мобильном режиме.
Политика конфиденциальности, условия, cookie-баннер при трекерах, способ связаться с вами и записи SPF, DKIM и DMARC для вашей почты.
Платные AI API вроде OpenAI или Anthropic, которые вызываются прямо из браузера: любой может взять ваш ключ и набить вам счёт.
| Проверка | Как |
|---|---|
| Ключи и токены в коде страницы | Шаблоны на основе правил Gitleaks по коду, который сайт отдаёт каждому посетителю |
| Открытые файлы вроде .env и source maps | Запросы только на чтение к известным адресам, такие же может сделать браузер |
| Скорость, SEO и доступность | Lighthouse и axe-core в мобильном профиле |
| Оплата и платные ИИ-сервисы | Что страница загружает и отправляет в обычном сеансе браузера |
| Почта: SPF, DKIM, DMARC | Публичные DNS-запросы |
Часть проверок пересекается с бесплатными инструментами. Мы собираем их вместе, объясняем простыми словами и показываем, как исправить каждую.
Мы открываем приложение так же, как посетитель, и запускаем пассивные проверки. Без регистрации. Около минуты.
Оценка из 100, статус по каждому из шести направлений и самая важная проблема с полным разбором. Бесплатно.
Все проблемы с доказательствами и пошаговыми исправлениями, плюс промпты для Lovable, Bolt, Cursor или Replit. $19.
Вставьте промпты в Lovable, Bolt, Cursor или Replit. Затем бесплатно пересканируйте в течение 7 дней, чтобы убедиться, что всё сработало.
AI-инструменты строят быстро. И раз за разом оставляют одни и те же дыры. Исследователи их посчитали.
170 из 1 645
приложений из публичной витрины Lovable имели таблицы в базе данных, которые любой в интернете мог прочитать или изменить. Причина — отсутствующие правила row-level security в Supabase.
Источник: Matt Palmer, заявление о CVE-2025-48757, март 2025
400+
открытых секретов — API-ключей и токенов доступа — в более чем 5 600 публичных приложениях с вайбкод-платформ. В том же исследовании — более 2 000 уязвимостей и 175 случаев утечки персональных данных.
Источник: Escape, исследование приложений с вайбкод-платформ, октябрь 2025
45%
случаев: код более чем 100 AI-моделей содержал уязвимость при проверке на 80 типовых задачах.
Источник: Veracode, 2025 GenAI Code Security Report, июль 2025
Сертификатов у нас нет, и мы не делаем вид, что они есть. Вот с чем сопоставлены наши проверки и на чём они работают — проверьте сами.
Ошибки настройки безопасности: заголовки по OWASP Secure Headers Project, HTTPS, флаги cookie, открытые файлы .env, .git и карты исходников.
Ключи в коде: секретные ключи в JavaScript, который ваш сайт отдаёт каждому посетителю.
Автоматические правила доступности из axe-core. Автоматика находит часть проблем, а не все.
LCP и CLS из лабораторного прогона Lighthouse на мобильном профиле. Вместо INP — Total Blocking Time: INP бывает только у живых посетителей.
Записи подлинности почты (RFC 7208, 6376, 7489) из публичного DNS.
Это ориентиры, а не сертификаты. Чистый скан не значит, что приложение им соответствует.
PlaywrightApache-2.0
Открывает ваш сайт в настоящем браузере, как посетитель.
LighthouseApache-2.0
Аудит скорости и SEO.
axe-coreMPL-2.0
Правила доступности.
GitleaksMIT
Часть наших шаблонов поиска ключей основана на его правилах.
Да. Бесплатная проверка делает только то, что делает обычный браузер: загружает страницы, читает публичный код и смотрит DNS-записи. Она не входит в аккаунты, не отправляет формы и не атакует. Более глубокие проверки, например правил доступа к базе, запускаются только после того, как вы подтвердите, что приложение ваше.
Нет. Скан работает по публичной ссылке, так же, как ваше приложение открывает посетитель. Мы никогда не просим пароль или код.
Любой публичный сайт или веб-приложение, как бы оно ни было сделано, и Telegram-боты (бета). Особое внимание — проблемам, частым у приложений из Lovable, Bolt, Replit, v0, Cursor и Base44, которые часто работают на Supabase, Firebase и Stripe. Сайты госорганов, банков, медицинских и образовательных учреждений мы не проверяем.
Храним только первые 6 символов и тип ключа — этого хватает, чтобы вы его узнали. Полный ключ никогда не сохраняется и не показывается. Как мы обращаемся с данными.
Обычно от 30 до 90 секунд. Видно, как проверяется каждое направление.