Мироздание

О сайте

Один каталог оборудования для мяса, птицы, рыбы, овощей и упаковки. Искать можно по производственной задаче, по характеристикам или по готовому комплексному решению, а потом запросить предложение или лизинг.

Что сделано

• Автоматическая подстановка запроса по странице: клиенту не нужно вручную писать свой запрос.
• Разные готовые обращения для покупки, подбора аналога и заказа запчастей.
• Поддержка автозаполнения имени, компании, телефона и почты из браузера.
• Сравнение с режимом «Только отличия» и сохранением выбранных машин.
• Поиск по модели, производителю и производственной задаче с дополнительными фильтрами. Условия сохраняются в ссылке — найденной подборкой можно поделиться.

Система управления сайтом

• Собственная аналитика: посещаемость, источники, популярные страницы, глубина просмотра, время, отказы, заявки и конверсия.
• CRM с планированием контактов: ответственный, следующий шаг, дата, потенциал сделки и комментарий менеджера; просроченные действия выделяются.
• Рабочие инструменты внутри панели: генератор QR-кодов, конвертация и изменение размеров изображений, конвертер единиц измерения.
• Массовое обновление каталога: импорт таблиц с предпросмотром изменений и экспорт для работы в Excel.
• Перенос характеристик из таблиц: параметры можно вставлять прямо из Excel или Google Таблиц, не заполняя каждую строку отдельно.
• Контроль тяжёлых изображений: медиатека помогает находить файлы, которые стоит оптимизировать.
• Разграничение доступа сотрудников: редактор работает с содержимым сайта, а управление учётными записями остаётся у администратора; предусмотрены ограничения попыток входа и защита команд редактирования.

Безопасность

Перед сдачей проекта клиенту был проведён внутренний аудит безопасности методом «серого ящика».

Результат: Критических, высоких и средних уязвимостей в финальной сборке проекта не обнаружено.

Защита от SQL-инъекций и инъекций команд

• Проверка: Автоматизированный перебор параметров с помощью sqlmap и ручной фаззинг форм ввода.
• Как реализована защита: Исходный код полностью исключает конкатенацию строк в SQL-запросах. Использовано встроенное ORM-экранирование фреймворка. Доступ приложения к СУБД ограничен правами Data Reader/Writer без доступа к системным таблицам.

Защита от XSS

• Проверка: Попытки внедрения вредоносных JS-скриптов во все пользовательские текстовые поля.
• Как реализована защита: Внедрён строгий шаблонизатор с автоэкранированием HTML-сущностей. На уровне веб-сервера развёрнута жёсткая политика Content Security Policy (CSP), запрещающая исполнение любого стороннего или небезопасного встроенного (inline) кода.

Безопасность компонентов

• Проверка: Анализ состава программного обеспечения (SCA) инструментами Snyk и Dependency-Check.
• Как реализована защита: Все используемые пакеты зафиксированы на стабильных версиях без известных уязвимостей из базы NVD. Настроено автоматическое уведомление о выходе патчей безопасности для зависимостей.

Изоляция админки

• Как реализована защита: Админка полностью вынесена на отдельный поддомен, закрыта от индексации поисковыми роботами и защищена от брутфорса механизмом Fail2ban (блокировка IP после 5 неверных попыток). Вход в админ-панель требует обязательной двухфакторной аутентификации (2FA / TOTP).

Устойчивость к DDoS и нагрузкам

• Проверка: Стресс-тестирование утилитой k6 для имитации легитимного наплыва пользователей и атак типа HTTP-флуд.
• Как реализована защита: На уровне Nginx настроены лимиты запросов (limit_req), отдающие ошибку 429 при превышении лимитов с одного IP. Архитектура подготовлена к бесшовной интеграции с внешними сервисами (например, Cloudflare / Qrator) для фильтрации L4/L7-трафика.