Аудит кода и архитектуры — это независимая проверка продукта, который написали не вы: перед покупкой, перед сменой подрядчика или перед крупным вложением в доработку. Инженер читает код, схему базы и инфраструктуру, профилирует то, что реально тормозит, проверяет безопасность и отдаёт письменный отчёт, где каждая находка разложена по уровню риска и по количеству часов на исправление.
Продавец показывает демо и говорит, что код чистый. Аудит даёт второе мнение до перевода денег: что там написано на самом деле, сколько стоит довести до нормы и какие находки — повод торговаться или выйти из сделки.
Ни документации, ни автора, ни понимания, где что лежит. Восстанавливаем структуру, модель данных и путь до продакшена, отмечаем места, которые опасно трогать без подготовки.
«Медленно» почти всегда разбирается на три-четыре конкретных запроса и один неверно спроектированный экран. Профилируем базу и приложение под реальной нагрузкой и показываем, где именно уходят секунды.
Смотрим, как хранятся пароли и токены, кто может прочитать чужие данные, какие админки и порты открыты наружу, что за секреты лежат в истории git. У каждой находки уровень риска, а не абстрактное «надо усилить».
Счёт на 300 000 ₽ за доработку, которая по ощущениям тянет на сорок часов, — нормальный повод позвонить. Разбираем задачу технически и говорим, сколько часов она стоит, до того как вы подписали.
Когда изменение цены в одном модуле роняет отчёты в другом, проблема не в разработчиках, а в границах модулей и отсутствии тестов. Показываем, где связность лишняя и какой минимум тестов останавливает регрессии.
Начинаем с того, зачем нужен аудит: сделка, спор с подрядчиком или тормоза в проде. Дальше нужен read-only доступ к репозиторию, дамп или реплика базы и просмотровый доступ к мониторингу и хостингу.
Код читает человек, а не только линтеры: границы модулей, модель данных, миграции, обработка ошибок, тесты, история коммитов. Отдельно отмечаем места, которые понимает ровно один человек в компании.
Медленные запросы снимаем через pg_stat_statements и EXPLAIN, профилируем приложение, прогоняем ключевые сценарии под нагрузкой. Каждое «тормозит» превращается в конкретный запрос, недостающий индекс или N+1.
Аутентификация и права доступа, секреты в репозитории, зависимости с известными уязвимостями, открытые порты, бэкапы и реальная проверка восстановления, CI/CD. Идём по чек-листу OWASP ASVS.
Отдаём письменный отчёт — находки по уровням риска, последствие для каждой, оценка в часах — и час созвона по нему, чтобы список был пригоден для любого исполнителя, не только для нас.
Если чинить беремся мы, берём верх списка и работаем по часам или на ежемесячном сопровождении. На всё сделанное — гарантия 1 месяц.
Инструменты подбираем под стек проекта: аудит Node/Postgres и аудит PHP/MySQL — разные маршруты по одному и тому же чек-листу. Ниже то, что встречается чаще всего; сам отчёт пишет инженер, а не выгрузка из линтера.
20–40 часов. Репозиторий и инфраструктура целиком, без глубокого профилирования. На выходе карта системы и десять находок, которые действительно важны, каждая с оценкой в часах. Хватает, чтобы решить «берём / не берём».
50–100 часов. Код, схема базы, производительность под нагрузкой, безопасность по чек-листу, CI/CD и восстановление из бэкапа. Развёрнутый отчёт с приоритетами и часами по каждому пункту плюс разбор созвоном. Цену двигают размер кодовой базы и число сервисов.
Аудит плюс работа по верхней части списка: индексы и запросы, узкие места, критичные дыры, приведение деплоя в порядок. Дальше при желании — сопровождение от 40 000 ₽ / $400 в месяц с выделенным инженером.
Цены указаны справочно и не являются публичной офертой (п. 1 ст. 437 ГК РФ). Итоговая стоимость, объём работ и сроки фиксируются в договоре или счёте после обсуждения задачи.
Чек-лист аудита вырос из систем, которые мы ведём сами. KMD — CRM, написанная с нуля для крупной сервисной компании в HoReCa: 12+ модулей, 89 миграций базы, доступ разложен на 9 ролей и 87 прав. Ровно эти места — матрица прав, история миграций, швы между модулями — мы и открываем первыми в чужом проекте.
Смотреть кейс KMDРазбор задачи и оценка объёма — бесплатно и без обязательств. Ответим в течение 2 часов в рабочее время и честно скажем, нужен вам полный аудит или хватит экспресса.
Обсудить задачу