Почему ChatGPT и нейросети не заменят аудит сайта на 152-ФЗ

Чтобы честно проверить соответствие, нужен не рассказ о сайте, а фактическая картина: что отдаёт сервер, что выполняется в браузере, какие элементы реально есть в DOM, какие запросы уходят на сторонние домены.

Если вы не передали ИИ результаты замеров (HAR/заголовки/список cookies/список страниц), он вынужден догадываться. Это неплохо для консультации, но плохо для «аудита».

Большая часть рисков появляется там, где собираются данные: «Контакты», «Заказ», «Записаться», «Личный кабинет», страницы услуг, квизы, попапы. На практике критичные формы часто живут не на главной.

• Внутренние страницы — чекбокс согласия может быть только в одном месте из пяти
• Поддомены и отдельные лендинги — разные шаблоны, разные трекеры, разные настройки
• Динамические элементы — формы по клику/скроллу, чат‑виджеты, квизы

QuickAudit ценен тем, что работает системно: он не ограничивается «визуальным взглядом» на одну страницу, а обходит до 100 внутренних страниц сайта — включая SPA и JS-рендеренные сайты — и собирает точки риска на каждой из них.

Генеративные модели иногда «достраивают» недостающие детали. Это может проявляться как:

• неверная интерпретация интерфейса (например, ИИ «видит» чекбокс там, где он стилизован иначе)
• советы уровня «сделайте так принято» вместо проверки конкретного факта на вашем сайте
• уверенные формулировки без подтверждения («полностью соответствует»)

То, что сайт открывается по HTTPS, ещё не отвечает на вопросы аудитора: корректна ли цепочка, нет ли проблем с доменом сертификата, какие редиректы происходят, какие заголовки безопасности реально отдает сервер.

QuickAudit проверяет 10 типов заголовков безопасности (HSTS, CSP, Permissions-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и др.) — это не «текстовый анализ», а техническая проверка протокола и ответа сервера. Именно поэтому специализированные сервисы ценны: они измеряют, а не предполагают.

Современный сайт — это не только HTML, а ещё десятки JS‑скриптов, которые подгружаются после загрузки страницы или по событию. Именно там появляются:

• runtime‑cookies (ставятся скриптами после инициализации)
• событийные трекеры (клики, формы, скролл)
• сторонние запросы к аналитике/чатам/виджетам/пикселям

QuickAudit анализирует сотни паттернов трекеров и cookies на каждой странице — от Яндекс.Метрики и Google Analytics до Hotjar, VK Pixel и десятков менее известных сервисов. Если аудит не отслеживает сетевые запросы и фактически установленные cookies, легко получить «всё ок по HTML», но пропустить важное в поведении страницы.

152‑ФЗ — это не только «наличие политики». Важно, чтобы документы, формулировки согласий и реальные точки сбора данных на сайте не противоречили друг другу.

• Документы — есть ли доступные ссылки, корректны ли формулировки под реальные сценарии
• Формы — что именно собирается (телефон, email, имя), есть ли согласие и ссылка на политику
• Внешние источники — часть проверки может требовать сверки с внешними данными (например, по оператору/регистрации), что выходит за пределы «прочитать HTML»

QuickAudit закрывает это как аудит: связывает «что написано» с «что реально происходит на сайте» и показывает расхождения. При проверке реестра РКН вы указываете ИНН, и мы проверяем наличие вашей организации в реестре операторов.

В реальной работе нужен результат, который можно зафиксировать и передать: руководителю, подрядчику, юристу, разработчику. Нужна структура «что найдено → где → риск → как исправить → приоритет».

• Отчёт с датой проверки и конкретными находками
• Повторяемость (проверили до правок и после — сравнили)
• Конфиденциальность: чтобы не приходилось копировать в чат фрагменты кода, логи, токены, настройки

QuickAudit делает проверку как сервис: вы получаете результат в отчётной форме, а не «диалог, который сложно использовать как документ».

1. HTTPS/SSL — защищённое соединение, валидность сертификата, корректность цепочки
2. Заголовки безопасности — 10 типов: HSTS, CSP, Permissions-Policy, X-Frame-Options, X-Content-Type-Options и др.
3. Политика конфиденциальности — наличие и доступность текста политики ПДн (HTML, PDF, DOCX)
4. Юридические документы — автоматический поиск оферты, соглашений, условий по всему сайту
5. Формы сбора ПДн — обнаружение на всех страницах, включая JS-формы и CMS-специфичные
6. Согласие на обработку ПДн — наличие чекбокса, качество текста согласия, ссылка на политику
7. Cookies — классификация по категориям: технические, аналитика, маркетинг и др.
8. Трекеры и аналитика — сотни паттернов: Яндекс.Метрика, Google Analytics, VK Pixel, Meta Pixel и др.
9. Покрытие проверки — обход до 100 внутренних страниц, включая SPA и JS-сайты

10. Анализ политики ПДн — проверка 18 обязательных разделов по ФЗ-152, полнота документа в процентах
11. Cookie-баннер — детекция десятков провайдеров CMP, проверка кнопок согласия/отказа/настроек
12. Шифрование форм — все ли формы отправляются по HTTPS, нет ли утечки данных через GET
13. Внешние формы (iframe) — обнаружение встроенных iframe-форм со сторонних доменов
14. Онлайн-чаты/виджеты — чаты, callback-виджеты и квизы, передающие данные третьим сторонам
15. Трансграничная передача — маппинг сервисов по странам, выявление высокорисковых юрисдикций (ст. 12 152-ФЗ)
16. Оценка штрафов — расчёт потенциального штрафа по статьям КоАП с учётом ФЗ-420

По итогам всех 16 проверок QuickAudit рассчитывает балл соответствия от 0 до 1000 по 14 категориям и присваивает уровень: критический, высокий, средний, низкий или отличный.

В отчёт также входит чек-лист исправлений с тремя приоритетами:

• P1 — критические: отсутствие политики, формы без согласия, чат-виджеты без согласия
• P2 — важные: небезопасные формы, отсутствие cookie-баннера, внешние формы
• P3 — рекомендуемые: дополнение разделов политики, упоминание внешних сервисов

Каждый пункт чек-листа содержит конкретную статью ФЗ-152 / КоАП и оценку потенциального штрафа — чтобы вы могли расставить приоритеты и передать задачи разработчику или юристу.