Аудит сайта и какие проблемы он находит

Сайт работает, заказы приходят, никто не жалуется. В такой ситуации вопрос про проверку звучит странно, и именно поэтому проверки обычно случаются после происшествия, а не до него.

Проблема в том, что сайт стареет незаметно. Он не ломается за один день, он накапливает мелкие расхождения, каждое из которых само по себе ничего не значит.

Зачем проверять сайт, который работает

Аудит нужен не всегда. Есть моменты, когда он окупается сразу, и есть, когда деньги на него уйдут впустую.

• Сайту больше трех лет. За это время изменилось все, включая бизнес.
• Сменился подрядчик. Новой команде надо понять, что она получила.
• Трафик упал без видимой причины. Реклама та же, заявок меньше.
• Планируется большая работа. Дешевле сначала зафиксировать текущее состояние.
• Сайт передают внутри компании. Тот, кто вел его, уходит.

Если ничего из этого не подходит, а сайт сделан в прошлом году, проверка подождет.

Есть и обратная ситуация, когда проверка приходит слишком поздно. Владелец замечает, что заявок стало меньше, ждет квартал, решив, что это сезонность, потом ждет еще. За полгода причина успевает обрасти последствиями: поисковик понизил оценку сайта, часть страниц выпала из индекса, позиции забрали конкуренты. Исправлять это дольше и дороже, чем было бы вначале.

Что накапливается за годы

Расширения, которые поставили и забыли

На одном из сайтов, которые мы проверяли, за четыре года поставили двадцать восемь расширений, а использовали только двенадцать. Остальные либо дублируют друг друга, либо решали задачу, которая давно исчезла.

Отключенные расширения тоже имеют вес. Они не работают, но лежат на диске, а незакрытая уязвимость в файле, лежащем в папке, работает независимо от того, включено расширение или нет.

Отдельная категория это расширения, которые больше не поддерживаются. Автор перестал их развивать, а сайт от них зависит. Это не повод немедленно все ломать, но знать о таких местах нужно.

База, разросшаяся от логов и черновиков

База растет, даже когда не добавляют ни товаров, ни страниц.

• Черновики и версии страниц. Каждое сохранение создает копию.
• Логи расширений. Часть пишет свою историю в базу и не чистит.
• Временные записи. Должны исчезать сами, часто не исчезают.
• Данные удаленных расширений. Расширение ушло, таблицы остались.
• Записи старых интеграций. Обмен с сервисом, которым не пользуются.

На большом каталоге это прямо влияет на скорость админки и на время сборки страницы. Разросшиеся таблицы без нужных индексов замедляют запросы, а сложная страница делает десятки запросов.

Чистка базы не опасная операция, если делать ее правильно: сначала копия, потом удаление по конкретным условиям, потом проверка. Опасно, когда базу годами не трогают, а потом решают вычистить все сразу без разбора.

Устаревшая версия PHP

Версия PHP, на которой работает сайт, со временем перестает получать исправления безопасности. Сайт при этом продолжает прекрасно работать, и именно поэтому вопрос откладывают.

Сложность в том, что часть старых расширений с новой версией несовместима. Поэтому проверка совместимости это отдельный пункт аудита, и результат ее не «обновить», а список того, что придется заменить до обновления.

Доступы, о которых никто не помнит

Это самая неловкая часть, потому что она не техническая.

Последствие не в том, что кто-то обязательно этим воспользуется. Последствие в том, что после любого происшествия невозможно понять, откуда оно пришло.

Обратная сторона той же проблемы проявляется, когда доступ срочно нужен. Домен оформлен на бывшего сотрудника, почта привязана к его личному адресу, он давно уволился и не отвечает. Такие истории решаемы, но процедура восстановления у регистратора занимает недели, и проходить ее под давлением заметно неприятнее, чем спокойно.

Копии, которых на самом деле нет

Про копии спрашивают всех, и почти все отвечают, что они есть. Уточняющие вопросы меняют картину.

• Где хранятся. На том же сервере не считается.
• Что именно сохраняется. Файлы без базы или база без файлов одинаково бесполезны.
• Какой они свежести. Копия месячной давности интернет-магазин почти не спасает.
• Пробовали ли восстанавливать. Обычно нет.
• Сколько занимает восстановление. Эту цифру не знает почти никто.

Практическая часть аудита сводится к одному шагу. Взять свежую копию и развернуть на тестовой площадке. Результат бывает неожиданным.

Чаще всего при проверке выясняется, что копии делало расширение, которое отключили два года назад, и с тех пор новых архивов нет. Или архивы есть, но без базы, потому что настройка копировала только файлы. Или все на месте, но восстановление занимает шесть часов, о чем никто не подозревал.

Следы прежних подрядчиков в коде

Когда над сайтом за годы работали три разные команды, в коде остаются слои.

Чаще всего находится дублирование: одна задача решена дважды разными способами, оба решения работают одновременно и иногда конфликтуют. Следом идут правки внутри файлов расширений. Они работают только до следующего обновления, которое перезаписывает файлы, и проблема, ради которой вносили правку, возвращается.

Отдельно проверяются посторонние вставки. Это не всегда результат взлома. Иногда это остатки чужой аналитики или партнерских скриптов, подключенных когда-то и забытых. Каждый такой скрипт это лишнее обращение к чужому серверу при загрузке страницы, и если этот сервер сегодня медленный или недоступный, ваш сайт ждет вместе с посетителем.

Еще одна находка, типичная для сайтов со сложной историей, это несколько систем аналитики сразу. Два или три разных счетчика, поставленных разными людьми в разные годы. Цифры у них не совпадают, непонятно, какому верить, и в итоге никто не смотрит ни в один.

Формы, аналитика и путь заявки

Техническая часть показывает состояние сайта, но владельца волнует другое: доходят ли заявки. Это проверяется отдельно, и здесь находятся самые дорогие ошибки.

• Форма отправляет письмо. И оно не попадает в спам.
• Адрес получателя актуален. Часто он принадлежит уволившемуся.
• Заявка где-то сохраняется. Кроме письма, которое можно случайно удалить.
• Передается источник трафика. Иначе рекламу не по чему судить.
• Событие пишется в аналитику. Чтобы видеть заявки, а не только визиты.
• Работает на телефоне. Проверено с реального устройства.

Тестовая заявка, отправленная с телефона при клиенте, закрывает большую часть вопросов за пять минут. Иногда она просто не приходит, и выясняется, что так уже несколько месяцев.

Что Google уже показывает про ваш сайт

Часть ответов лежит в Google Search Console, и владельцы туда почти не заглядывают.

• Сколько страниц в индексе. Если их в разы больше реальных, где-то плодятся дубли.
• Какие страницы исключены и почему. В этом списке часто нужные разделы.
• По каким запросам сайт показывается. Иногда совсем не по тем.
• Ошибки обхода. Битые ссылки, недоступные страницы, медленные ответы.

Скорость проверяют отдельно, и самые частые проблемы с ней разобраны в статье о том, почему сайт медленно загружается. Большая часть найденного чинится в рамках поддержки и развития проектов, поэтому аудит обычно предшествует договору на обслуживание, а не наоборот.

Что смотрят глазами, а не инструментом

Часть находок не видна ни одной программе, и именно они чаще всего оказываются самыми дорогими.

Открыть сайт с телефона и попробовать сделать то, ради чего он существует. Найти цену. Найти условия доставки. Отправить заявку. Позвонить одним нажатием. Если на каком-то шаге приходится напрягаться, посетитель на этом шаге и уходит.

Прочитать тексты на главных страницах так, будто вы про эту компанию ничего не знаете. Часто выясняется, что страница услуги не отвечает на вопрос, что именно входит и сколько стоит, зато подробно рассказывает про индивидуальный подход.

Проверить, что написано в результатах поиска по названию компании. Поиск собирает заголовок и описание сам, иногда берет их из настроек сайта, иногда из содержимого страницы, поэтому судить надо по выдаче, а не по настройкам.

Открыть свой сайт и сайты двух конкурентов в соседних вкладках. Это дает больше, чем любой список технических замечаний, потому что посетитель именно так и выбирает.

Как выглядит отчет после проверки

Отчет должен быть тем, с чем можно работать, а не тем, чем любуются.

• Список находок с пояснениями. Что нашли, чем грозит, насколько срочно.
• Разделение по срочности. Критичное, плановое, желательное.
• Оценка работ. Сколько часов займет каждый пункт.
• Что можно сделать самим. Часть пунктов не требует подрядчика.
• Что делать не стоит. Иногда правильный ответ это оставить как есть.

Последний пункт и отличает полезный аудит от списка претензий. Не каждая находка требует исправления, и честный отчет прямо об этом говорит.

Формат тоже имеет значение. Сорокастраничный отчет из автоматического сервиса выглядит внушительно и не дает ничего: сотни однотипных замечаний без разделения на важное и мелкое. Рабочий отчет короче и построен вокруг последствий, а не технических параметров: не «отсутствует атрибут», а «из-за этого страница не показывается по такому запросу».

Что исправляют сразу, а что идет в план

Сразу исправляют то, что создает риск или уже стоит денег.

К критичному относятся открытые доступы, отсутствующие копии, незакрытые уязвимости и страницы, которые поиск не видит из-за технической ошибки. Эти работы не ждут утверждения квартального бюджета.

К плановому относятся обновление версий, чистка базы, удаление лишних расширений и работа над скоростью. Это делается по графику, с копией перед каждым шагом.

К желательному относится то, что улучшит сайт, но не горит: пересмотр структуры, обновление текстов, доработка форм. Сюда же попадает вопрос, не пора ли менять сайт целиком, и он разобран в статье о том, когда сайту нужен редизайн.

Сколько занимает проверка и сколько стоит

Аудит сайта компании занимает от нескольких часов до дня. Интернет-магазин с интеграциями дольше, потому что проверяются еще и обмены данными.

Поисковую часть проверки, то есть индексацию, дубли, редиректы, карту сайта и скорость, делаем в рамках SEO-оптимизации и продвижения и считаем разово, от $200. Плагины, настройки хостинга, резервные копии, доступы и код прежних подрядчиков проверяем в рамках поддержки и развития проектов. Там первичный осмотр и ориентировочная оценка бесплатны. Полную проверку заранее оцениваем в часах, и в зависимости от объема она идет в счет часов абонемента или оплачивается почасово. Исправления потом либо входят в регулярное обслуживание, либо делаются разовыми задачами. Что именно входит в регулярную заботу о сайте, описано в статье про поддержку сайта.

Чем аудит отличается от приемки

Приемка проверяет, сделано ли то, что заказывали, и происходит один раз при сдаче нового сайта. Ее перечень описан в статье про чек-лист приемки сайта.

Аудит проверяет состояние сайта, который давно работает, и ищет не невыполненные обещания, а накопленные последствия. Списки пунктов частично совпадают, но вопросы разные: там «Все ли сделано?», здесь «Что успело испортиться?».

Выводы

Аудит сам по себе не делает сайт лучше. Он дает карту: что есть, что из этого угрожает, что прямо сейчас стоит денег и в каком порядке чинить.

Главная ценность такой проверки в снятой неопределенности. Владелец перестает гадать, почему упал трафик и страшно ли обновлять систему, и начинает принимать решения по фактам.

Если вы не уверены, в каком состоянии ваш сайт, пришлите его адрес и доступ к Google Search Console, если он у вас есть. Мы пройдем по списку выше и вернемся с отчетом, где находки разделены по срочности и оценены в часах. Если окажется, что сайт в приличном состоянии и срочного нет, мы так и скажем, а вместо списка работ предложим график обслуживания.