Аудит безопасности веб-приложения на Laravel

Laravel даёт хорошие средства защиты, но не заставляет ими пользоваться. Проверяем, везде ли ими пользуется ваша команда.

Собрать проект Типовой проект — 178 800 ₽

Многое в Laravel безопасно по умолчанию: защита форм, экранирование в шаблонах, работа с базой через ORM. Слабые места появляются там, где проект вышел за эти рамки или где боевой сервер настроен как машина разработчика. Поэтому аудит Laravel-приложения начинается с окружения: режим отладки, ключи, cookie и сессии, доступность служебных файлов и каталогов.

Второе направление — разграничение доступа. Видит ли пользователь только свои заказы и документы, подключены ли политики ко всем маршрутам API, защищены ли поля моделей, которые пользователь не должен менять. Сканеры такие вещи не находят: нужна ручная проверка с несколькими ролями и понимание бизнес-логики.

Третье — служебные инструменты и зависимости. Панели мониторинга очередей и отладки, просмотр логов, административные пакеты удобны команде и должны быть закрыты от интернета. Пакеты Composer проверяем по базам известных уязвимостей и смотрим, какие из них реально используются в приложении.

Что изменится в работе команды после аудита

Кроме списка находок, вы получаете короткий набор правил для команды: как оформлять политики доступа для новых маршрутов, какие поля моделей защищать, что проверять перед каждой выкладкой. Эти правила легко превратить в пункты ревью кода и автоматические проверки в CI.

Через несколько месяцев имеет смысл повторить экспресс-проверку: новые функции появляются быстро, и вместе с ними появляются новые места, где доступ к данным нужно проверить.

Коротко о формате

Как передаётся отчёт?

Документом и созвоном с командой, где разбираем каждую критичную находку и отвечаем на вопросы разработчиков.

Подпишете соглашение о неразглашении?

Да, до начала работ. Доступы и код используем только для аудита и удаляем после.

Возможности

Что проверяем

Боевое окружение

Отладка выключена, ключи уникальны, служебные файлы недоступны извне, cookie настроены.

Разграничение доступа

Политики и проверки владельца на всех маршрутах, роли пользователей.

Модели и формы

Какие поля пользователь может менять, валидация входных данных.

Служебные панели

Инструменты мониторинга и отладки закрыты паролем или по адресам.

Зависимости

Пакеты Composer и npm с известными уязвимостями, план обновления.

Минимум для любого Laravel-приложения в продакшене

Режим отладки выключен на боевом сервере
Ключ приложения уникален и не совпадает с тестовым
Файл с настройками окружения недоступен из интернета
Панели мониторинга и отладки закрыты паролем или по адресам
Версия Laravel и PHP получает исправления безопасности
Загруженные пользователями файлы не выполняются сервером

Калькулятор

Аудит приложения на Laravel — расчёт стоимости

Отраслевые модули уже отмечены. Уберите лишнее или добавьте нужное — сумма в счёте будет та же, что в смете.

Выберите пакет

Добавьте нужное

необязательно

+ 39 900 ₽

+ 9 900 ₽

+ 14 900 ₽

+ 19 900 ₽

от 14 900 ₽ за роль

от 24 900 ₽ за 50 методов

+ 69 900 ₽

+ 79 900 ₽

+ 49 900 ₽

+ 39 900 ₽

от 24 000 ₽ за 10 ч

+ 14 900 ₽

Ваша смета

Пакет «Орбита»129 000 ₽
Ревью кода контроллеров и политик39 900 ₽
Аудит зависимостей9 900 ₽

Стоимость работ

0 ₽

Срок: 3–4 недели

Счёт сейчас: 89 400 ₽ — предоплата 50%, остаток после приёмки

Без регистрации. Счёт и анкета придут на почту сразу. Работаем по договору и с разрешения владельца системы.

Кто участвует с вашей стороны

Технический руководитель

Описание архитектуры, ролей и критичных сценариев.

Разработчик

Доступ к коду и тестовому окружению, ответы на вопросы.

Владелец продукта

Что для бизнеса критично: деньги, данные клиентов, документы.

Что входит в отчёт

Раздел	Для кого
Краткое резюме рисков	Руководитель
Находки с уровнем критичности	Технический руководитель
Шаги исправления по каждой находке	Разработчики
Рекомендации по процессу разработки	Команда

Пример: B2B-портал на Laravel с кабинетами клиентов и менеджеров

Пакет «Орбита» (129 000 ₽) + ревью кода контроллеров и политик (39 900 ₽) + аудит зависимостей (9 900 ₽). Итог — 178 800 ₽ и 3–4 недели. В отчёте — несколько маршрутов API без проверки владельца записи, открытая панель мониторинга очередей и пакеты, которые не обновлялись два года, с порядком исправления по приоритетам.

Собрать свой вариант

Вопросы и ответы

Вопросы о проверке Laravel

Нужен ли доступ к коду?

Для пакета «Орбита» — желателен: так проверка точнее и быстрее. Для экспресс-аудита достаточно доступа к приложению.

Вы проверите приложение на нашей тестовой копии?

Да, это лучший вариант для активных проверок. Боевой сервер смотрим только в согласованном режиме.

Будет ли отчёт понятен нашей команде?

Для разработчиков — конкретные файлы, маршруты и рекомендации по исправлению. Для руководителя — краткое резюме рисков.

Проверите повторно после исправлений?

Да, повторная проверка входит в пакет «Орбита».

У нас Laravel 8. Это проблема?

Версия без исправлений безопасности — риск сама по себе. В отчёте оцениваем срочность перехода и объём работ.

Смотрите также

Бесплатные калькуляторы и шаблоны по теме

Все инструменты →