Ключ в клиентском JS
OpenAI, Gemini, Stripe, Resend — попадают в бандл и видны любому. Счёт за чужое использование приходит вам.
Проверка перед деплоем
Ваше AI-приложение
не должно утекать
DeployGuard проверяет живой сайт, собранный в Lovable, Bolt, Cursor или v0: ключи в клиентском коде, открытые базы Supabase и Firebase, дыры в AI-эндпоинтах. На выходе — оценка, список проблем и готовый промпт для исправления.
Первый пассивный скан — бесплатно. Карта не нужна.
Что обычно находят в вайб-коде
Открытый Supabase
RLS не включён или настроен на «разрешить всё». Таблица с email пользователей читается без входа.
AI-эндпоинт без защиты
Промпт-инъекция вытаскивает системный промпт, а инструменты агента выполняют чужие команды.
«А кнопки работают?»
Форма входа отвечает 500, страница падает с ошибкой, внутренние ссылки ведут в никуда.
Три шага, две минуты
-
1
Пришлите адрес
Откройте бота и отправьте ссылку на сайт. Пассивный скан идёт сразу и ничего не списывает.
-
2
Получите отчёт
Оценка 0–10, проблемы по важности и команда, которой каждую можно проверить самостоятельно.
-
3
Исправьте и проверьте
Копируете Fix-Prompt в Cursor или Lovable, затем нажимаете «Проверить исправление» — и видите, закрыта ли дыра.
51 проверка живого приложения
Без доступа к вашему репозиторию — только то, что видит снаружи любой желающий.
Секреты и ключи
OpenAI, Anthropic, Groq, Stripe, Resend, Firebase service account, Supabase service_role, базы данных с паролем, приватные ключи — в HTML, JS и source maps.
Базы и хранилища
Supabase RLS по таблицам, публичные Storage-бакеты, Firebase RTDB и Firestore, открытые S3 и GCS.
AI-поверхность
Промпт-инъекция, jailbreak, утечка системного промпта, AI-mediated XSS, избыточные права агента, инструкции для агентов в открытом доступе.
Веб-гигиена
CSP, HSTS, X-Frame-Options, Referrer-Policy, CORS с credentials, cookie-флаги, mixed content, SRI.
Доступность и логика
Open redirect, path traversal, открытые дампы и админки, GraphQL introspection, лишние HTTP-методы, отладочные режимы.
Зависимости
Если деплой отдаёт package.json — сверяем версии с базой OSV и показываем известные CVE.
Чем это отличается от обычного сканера
Fix & Verify
Мало найти проблему — нужно убедиться, что она закрыта. Кнопка перепроверяет конкретную находку после вашего фикса.
Мониторинг регрессий
Если дыра была закрыта, а потом вернулась — придёт отдельный алерт. Это и есть смысл подписки.
Отчёт для клиента
HTML-отчёт и SARIF: можно отдать заказчику или приложить к релизу. Подходит агентствам, которые сдают сайты.
Тарифы
Начать можно бесплатно. Оплата — картой, счёт для агентства по запросу.
Free
$0
- 1 пассивный скан в месяц
- Оценка и 3 главные проблемы
- Без карты
Starter
$19/мес
- 10 сканов в месяц
- Fix-Prompt для Cursor
- История проверок
Pro
$39/мес
- Мониторинг и алерты о регрессиях
- Fix & Verify
- HTML-отчёт и SARIF
Agency
$199/мес
- 10 доменов
- Отчёт под вашим брендом
- Приоритетная поддержка
Вопросы
Это законно — сканировать сайт?
Только свои сайты. Полный скан доступен после подтверждения владения доменом: вы кладёте файл или meta-тег, мы проверяем. Чужие сайты сканировать нельзя — это в оферте и в правилах сервиса.
Вы гарантируете, что сайт безопасен?
Нет, и никто не может. Это быстрая автоматическая проверка по 51 известному классу проблем, а не полный аудит и не пентест. Отсутствие находок не означает отсутствие уязвимостей.
А ложные срабатывания бывают?
Бывают, поэтому под каждой находкой есть кнопки «Реальная» и «Ложное». Ложные мы запоминаем и больше не показываем, а для проверки даём команду, которой вы сами убедитесь.
Что вы делаете с моими данными?
Храним адреса сканов, результаты и идентификатор Telegram. Не продаём и не передаём для рекламы. Секреты из находок маскируются в отчётах и логах.
Можно вернуть деньги?
Если скан не удался — единица тарифа возвращается на баланс автоматически. Если оплата прошла, а тариф не распознан — возвращаем в течение 24 часов. Подробности в разделе «Возвраты».