Сайт может выглядеть готовым и при этом нарушать закон, держать открытыми служебные панели или быть закрытым от поиска. Владелец об этом обычно не знает: страница открывается, заявки приходят. Мой сайт sergoven.ru собирал ИИ, и всё, что ниже, нашлось на нём после запуска.

Ниже чек-лист для готового сайта, своего или собранного подрядчиком: дыры, которые ИИ оставляет по умолчанию, что требует закон о персональных данных от сайта с формой заявки и готов ли сайт технически к продвижению в поиске.

№РазделЧто получите
1Безопасностьдыры, которые ИИ оставляет по умолчанию, и как их закрыть
2152-ФЗ и форма заявкичто должно быть на сайте, который собирает имя и телефон
3Готовность к SEOчто поисковику нужно от сайта до любых статей и продвижения
4Проверка за пару минутавтоматический отчёт по вашему сайту в боте
5Чек-листперед запуском и раз в месяц

Безопасность: дыры, которые оставляет ИИ

Почему ИИ их оставляет. Он решает задачу «чтобы работало». Закрыть лишнее в задаче не было, и по умолчанию многое остаётся открытым. Пункты ниже нашлись на моём сервере после запуска.

ДыраКак проявляетсяЧто сделать
Открытые админ-панелипанели n8n, базы данных и служебных программ открываются из интернета по адресу, вход только по их собственному паролюзакрыть паролем на уровне сервера (basic auth в веб-сервере), служебные адреса вроде вебхуков оставить открытыми
Закрытая страница доступна по IPсписок заявок был под паролем на домене, а по адресу http://IP-сервера открывался без пароляпроверить каждую закрытую страницу заходом по IP и по http; лишнее по IP закрыть
Лишние портытестовые порты остаются открытыми после разработки; на моём сервере программа в контейнере открыла порт в обход firewallнаружу только 22, 80, 443; база данных только с адресов, которым она нужна
Нет заголовков безопасностисайт можно встроить в чужую страницу, браузер не ограничивает сторонние скриптыCSP, X-Frame-Options, Referrer-Policy, Permissions-Policy; каждый сторонний сервис добавлять в CSP отдельно
Форма без защиты от ботовспам-заявки и переборскрытое поле-ловушка (honeypot) и ограничение частоты отправки
Устаревшие пакетыИИ ставит ту версию, которую знает, а в ней известные уязвимостираз в месяц npm audit или аналог; у меня обновление фреймворка сократило список с 5 до 2
Ключи в кодетокены и пароли в файлах, которые уходят в репозиторийсекреты только в файлах окружения, закрытых от git; попросить ИИ проверить историю
Две копии сайтасайт отвечает и с www, и без, и по httpодна главная версия, остальные перенаправлять на неё кодом 301
Сайт не поднимается сампосле перезагрузки сервера сайт лежит, пока вы не заметитеавтозапуск службы и ежедневная проверка доступности с уведомлением в Телеграм

Где ИИ ошибается чаще всего: CSP. Строгая политика безопасности молча режет всё, чего в ней нет. Мой счётчик Яндекс Метрики не работал вообще: код в странице был, сайт отвечал, в консоли не было ошибок скриптов. Нашлось это только по списку заблокированных запросов. Понадобилось добавить два домена Метрики и отдельную директиву для фреймов. Проверять счётчик нужно по отчёту Метрики: пришли ли туда данные.

152-ФЗ и форма заявки

Как только сайт собирает имя и телефон, вы становитесь оператором персональных данных. Это касается и ИП, и самозанятых. Минимум, который я считаю обязательным до включения формы (галочка и счётчики выведены из ст. 9 и условий Метрики):

ЧтоКак сделано у меня
Политика обработки ПДнотдельная страница: кто оператор (ФИО, ИНН), какие данные, зачем, где хранятся, сколько, как отозвать согласие
Согласие отдельным документомс 1 сентября 2025 года согласие оформляется отдельно от других документов; у меня согласие лежит на своей странице, отдельно от политики
Галочка у формыпустая по умолчанию, рядом ссылка на документ согласия; без галочки заявка не уходит
Счётчики после согласияМетрика включается только после нажатия «Принять» на баннере cookie; до этого ни одного запроса к счётчику
Вебвизор выключен (рекомендация)запись действий посетителя может захватывать введённое в поля формы; я выключил вебвизор и в коде, и в настройках счётчика
База заявок в Россиизаявки пишутся в базу на сервере в Москве, первично; в Телеграм приходит только номер заявки и ссылка
Уведомление в РКНподаётся до начала сбора; моя форма была выключена, пока уведомление не подали, включил после
Иностранные сервисысервис с серверами за рубежом означает передачу данных за границу, о ней подаётся отдельное уведомление; я обошёлся без зарубежных счётчиков и капчи

Подробно, с порядком подачи уведомления и формулировками: методичка «152-ФЗ для бота и сайта с формой» в боте @sergoven_aibot. Это порядок действий по моему опыту, юридической консультацией он не является.

Готовность к SEO: что поисковику нужно от сайта

Что здесь проверяется. Технический фундамент, без которого статьи и продвижение не сработают. Позиции и трафик видны владельцу в Вебмастере и Метрике, снаружи их не проверить.

ЧтоКак проверитьЕсли не так
Сайт открыт для поискафайл /robots.txt: в нём нет Disallow: / для всех роботовзакрытая страница не попадёт в выдачу. Проверяйте основной домен: технический адрес и основной могут быть настроены по-разному
Есть карта сайтафайл /sitemap.xml открывается, в нём все важные страницы; ссылка на него есть в robotsробот найдёт не все страницы или найдёт их позже
Одна версия сайтаадреса с www и без, по http и https ведут на одну версию кодом 301поисковик видит две копии каждой страницы
Несуществующая страница отдаёт 404откройте vashsayt.ru/net-takoy-stranicy: код ответа 404если 200, поисковик плодит дубли из мусорных адресов
Заголовок и описаниеу каждой страницы свой короткий title без обрезки в выдаче и description; на странице один заголовок H1сниппет в выдаче собирается сам, часто неудачно
canonicalу страницы указан основной адреспоисковик сам выбирает, какую копию показывать, и может выбрать не ту
Превью при репостеу страниц есть картинка og:imageссылка в мессенджере без картинки, по ней кликают реже
Скоростьсервер отвечает быстро; страница не прыгает при загрузкемедленный сайт теряет посетителей с телефона
Вебмастер подключёнсайт подтверждён в Яндекс Вебмастере, карта сайта отправленане видно, что поисковик думает о сайте и какие ошибки нашёл

Что делать дальше, когда фундамент в порядке: как выбрать темы и писать страницы, которые приводят клиентов, разобрано в гайде «SEO: как сайт начинает приводить клиентов» в боте @sergoven_aibot.

Проверьте свой сайт за пару минут

Большую часть пунктов из разделов 1-3 видно снаружи. Я собрал проверку, которая смотрит на сайт глазами РКН и поисковика: политика, согласие, галочка, счётчики до согласия, иностранные сервисы, где стоит сервер, robots, карта сайта, заголовки, ответ 404.

Что показала проверка. 14 октября я прогнал её по четырём сайтам малого бизнеса. Из трёх сайтов с формой заявки ни у одного не было отдельного согласия и галочки, а Метрика запускалась до согласия на трёх сайтах из четырёх. Скорее всего, у вас найдётся что поправить.

Чек-лист перед запуском и раз в месяц

Нужна помощь с сайтом

Пришлите отчёт проверки или номер пункта, который не получается, мне в Телеграм. Соберу сайт под ваш бизнес: политика, согласие под формами и уведомление о cookie входят в любой мой сайт бесплатно, уровни и цены на странице создания сайта под ключ. Существующий сайт привожу к 152-ФЗ отдельной услугой «Соответствие 152-ФЗ»: от 15 000 ₽, проверка 5 000 ₽ засчитывается в работу.

Как вести статьи, чтобы сайт начал приводить людей из поиска, разобрано на странице SEO-продвижения под ключ и в гайдах в боте.

Скачать этот чек-лист в PDF можно в моём Телеграм-боте @sergoven_aibot, там же гайды «Как собрать сайт с ИИ» и «SEO: как сайт начинает приводить клиентов».