Аудит безопасности сайта и приложения на Next.js

В Next.js граница между сервером и браузером проходит внутри одного проекта. Аудит проверяет, что секреты и проверки прав остались на правильной стороне.

Рассчитать стоимость

от 29 900 ₽

стоимость пакетов

3–4 недели

срок типового проекта

отраслевых модуля в калькуляторе

Next.js позволяет писать серверный и клиентский код рядом, в одном файле или соседних. Это удобно и в то же время требует дисциплины: каждое серверное действие и каждый маршрут API — публичная точка, которую можно вызвать напрямую, а не только с той кнопки, где она используется. Если проверка прав сделана только в интерфейсе, на сервере её нет.

Мы сами разрабатываем на Next.js: на нём работает levitsky-c.ru и наши продукты. При одном из своих аудитов мы нашли и закрыли в собственном проекте административные серверные действия без проверки роли на сервере. Поэтому знаем, куда смотреть в первую очередь.

Вторая тема — версии. В 2025 году в Next.js и в серверных компонентах React находили серьёзные уязвимости, и исправления вышли в новых версиях. Проект, который давно не обновлялся, может оставаться на уязвимой версии. Третья — данные: переменные окружения, попавшие в клиентский код, персональные данные в кеше страниц, исходные карты в продакшене.

Что ещё спрашивают команды

Как часто обновлять Next.js?

Исправления безопасности — сразу после выхода, мажорные версии — по плану, с проверкой на тестовом окружении.

Поможете встроить проверки в разработку?

Да: автоматический анализ зависимостей в CI, правило ревью для серверных действий и шаблон проверки прав.

Самопроверка проекта

Каждое серверное действие начинается с проверки пользователя и роли
Секреты не используют публичный префикс переменных окружения
Персональные страницы не попадают в статический кеш
Исходные карты не доступны в продакшене
Версия фреймворка не старше последних исправлений безопасности

Возможности

Что проверяем

Версия и исправления

Версии Next.js и React, установлены ли исправления безопасности.

Серверные действия и API

Проверка прав на сервере в каждом действии и маршруте.

Промежуточный слой

Не держится ли вся защита только на middleware.

Секреты и данные

Что попадает в клиентский бандл, что кешируется, что видно в исходных картах.

Заголовки и изображения

Политика безопасности контента, настройки оптимизатора изображений.

Калькулятор

Аудит приложения на Next.js — расчёт стоимости

Отраслевые модули уже отмечены. Уберите лишнее или добавьте нужное — сумма в счёте будет та же, что в смете.

Выберите пакет

Добавьте нужное

необязательно

+ 24 900 ₽

+ 14 900 ₽

+ 9 900 ₽

от 14 900 ₽ за роль

от 24 900 ₽ за 50 методов

+ 69 900 ₽

+ 79 900 ₽

+ 49 900 ₽

+ 39 900 ₽

от 24 000 ₽ за 10 ч

+ 14 900 ₽

Ваша смета

Пакет «Орбита»129 000 ₽
Проверка всех серверных действий24 900 ₽
План обновления версии14 900 ₽

Стоимость работ

0 ₽

Срок: 3–4 недели

Счёт сейчас: 84 400 ₽ — предоплата 50%, остаток после приёмки

Без регистрации. Счёт и анкета придут на почту сразу. Работаем по договору и с разрешения владельца системы.

Где в Next.js-проекте обычно ошибаются

Место	Ошибка	Как правильно
Серверные действия	Роль проверяется только в интерфейсе	Проверка роли в каждом действии
Переменные окружения	Секрет с публичным префиксом	Секреты только на сервере
Кеш страниц	Личные данные в общем кеше	Динамический рендер для персональных страниц
Исходные карты	Доступны в продакшене	Отключить или закрыть
Версия	Пропущены исправления	Регулярные обновления по плану

Как проходит аудит

Неделя 1
Обзор
Архитектура, роли, список действий и маршрутов, версии.
Неделя 2
Проверка
Ручная проверка ролей и данных на тестовом окружении.
Неделя 3
Отчёт и разбор
Созвон с командой, повторная проверка после исправлений.

Пример: SaaS-кабинет на Next.js с ролями владельца и сотрудника

Пакет «Орбита» (129 000 ₽) + проверка всех серверных действий (24 900 ₽) + план обновления версии (14 900 ₽). Итог — 168 800 ₽ и около трёх недель. В отчёте — несколько серверных действий, где роль проверялась только в интерфейсе, и версия фреймворка без последних исправлений с порядком обновления.

Собрать свой вариант

Вопросы и ответы

Вопросы о проверке Next.js

У нас проверка прав в middleware. Этого достаточно?

Нет. Middleware полезен как первый фильтр, но проверка прав должна быть и в самих действиях и маршрутах. Иначе защита держится на одном слое.

Проверите проект на Vercel?

Да, проверяем приложение и его настройки. Инфраструктуру хостинга не проверяем — это зона ответственности провайдера.

Обновление версии сломает сайт?

Между мажорными версиями есть несовместимые изменения. В плане обновления описываем их и порядок проверки, мы сами проходили такой переход.

Вы проверяете только Next.js?

Нет, любые React-приложения с серверной частью: Remix, Nuxt, собственные серверы на Node.js.

Сколько времени займёт?

Экспресс-аудит — неделя, полная проверка приложения с ролями — 2–3 недели.

Смотрите также

Бесплатные калькуляторы и шаблоны по теме

Все инструменты →