Один лендинг, два города
и девять лет наслоений

Заявки пишутся в CSV прямо в каталог сайта. Доступ закрывает одно правило в .htaccess, и оно указывает точное имя файла leads.csv. Файл leads(1).csv на питерском сайте под правило не подпадает — он отдаётся по прямой ссылке любому. Если хостинг когда-нибудь переедет на nginx или .htaccess потеряется при переносе, наружу уйдут все базы разом.

В корне московского сайта лежит папка с русским названием и пробелом — старая копия лендинга целиком: страница, ассеты, node_modules и отдельный файл заявок на 1 436 записей. Её собственный .htaccess содержит только редирект на HTTPS: ни запрета на CSV, ни Options -Indexes. То есть базу можно скачать напрямую, а содержимое папок, возможно, ещё и просматривается списком.

Рядом с рабочим index.php лежат прошлые версии страницы с тем же <title> и без запрета индексации — поисковики могут показывать их вместо главной. В этих копиях форма старая: без антиспам-токена и без чекбоксов согласия. Обработчик набирает по ним 180 баллов при пороге 60 и отбрасывает заявку — но отвечает браузеру «успешно», чтобы не подсказывать ботам. В результате живой человек, попавший на такую страницу, видит экран «Спасибо за заказ», а заявка не приходит никуда.

После успешной отправки формы код проверяет typeof yaCounter43295234 — это счётчик московского сайта. У СПб счётчик 55626235, и подключён он через современный API ym(), который вообще не создаёт глобальных объектов yaCounter*. Условие никогда не выполняется. Тот же промах в общем файле событий: он на обоих сайтах жёстко настроен на московский идентификатор.

Universal Analytics перестала принимать данные 1 июля 2023 года, Google Optimize закрыт 30 сентября 2023-го — оба до сих пор подключены и просто тратят время загрузки. Отдельная путаница на страницах благодарности: у Москвы там другой идентификатор аналитики, чем на главной, а у Питера — два контейнера GTM сразу, то есть конверсии считаются дважды.

Используется PHPMailer 5.2.9 — у этой ветки есть публично известные уязвимости удалённого выполнения кода (CVE-2016-10033 и следующие). Прямо сейчас они не эксплуатируются: адрес отправителя захардкожен, тело письма экранируется, HTML-теги отсекаются антиспамом. Но это единственное, что отделяет от проблемы, — любая будущая правка формы может снять эту защиту незаметно.

Редирект на HTTPS настроен, но дальше — пусто: нет HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy. Сайт можно поместить в чужой iframe, первый заход по http:// идёт открытым текстом, а сторонние скрипты (а их тут шесть внешних источников) ничем не ограничены.

В списке получателей писем с московского лендинга остался тестовый адрес, добавленный при настройке антиспама. Каждая заявка с именем и телефоном уходит третьему лицу — формально это передача персональных данных без основания.

Заявки копятся в одном CSV с 2017 года — девять лет имён и телефонов без регламента хранения, что 152-ФЗ прямо не одобряет. Структура файла уже разъехалась (часть строк с 7 и 9 колонками вместо 5), а единственная копия лежит на том же диске, что и сайт. Логи антиспама тоже содержат ПДн: IP, имя, часть телефона и текст комментария.

Страница подключает файлы напрямую из node_modules: сборки нет, минификации нет, 6,6 МБ пакетов лежит в корне каждого сайта. Версии девятилетней давности: у jQuery 3.1.1 есть известные XSS и prototype pollution, Bootstrap 3 снят с поддержки в 2019-м.

Кто-то уже сконвертировал картинки в современный формат — и работа не доехала до страницы: в index.php ноль упоминаний webp. Одновременно только фоновые изображения в CSS весят почти 7 МБ, а на первом экране Питера грузится 1,8 МБ картинок сразу, без отложенной загрузки.

В .htaccess нет ни mod_deflate, ни mod_expires: CSS и JS отдаются несжатыми, у картинок нет Cache-Control. Повторный визит грузит всё заново.

Помимо «Нового каталога» в корне лежат ZIP-архивы с фотографиями (по 16 МБ на сайт, доступны на скачивание) и целый каталог картинок, на который нет ни одной ссылки во всём проекте.

Базовая разметка сделана давно и с тех пор не пересматривалась. Для локального бизнеса с адресом, телефоном, ценой и отзывами отсутствие Schema.org — это прямая потеря расширенных сниппетов в выдаче.

robots.txt закрывает /thanks.php — страницы с таким именем на сайтах нет, реальная страница благодарности называется /thankyou.php и открыта для индексации. Карта сайта сгенерирована в 2022 году, содержит одну ссылку и начинается с BOM-символа перед XML-декларацией, из-за чего валидаторы считают её некорректной.

Города — это два независимых набора файлов, которые уже разошлись: main.js отличается на 96 строк, main.css — на 6 КБ. Любая правка делается дважды, и любая забытая правка превращается в баг ровно того типа, что описан в находке 04.

Адрес и карта верные, а вот телефон и отзывы — московские. Динамический коллтрекинг Comagic номер, скорее всего, подменяет, но при выключенном JS и в сообщениях об ошибках формы посетитель видит московский номер.

Спецификация требует, чтобы <meta charset> уложился в первые 1024 байта документа. Здесь он на 1126-м (МСК) и 1179-м (СПб) — выше него встали GTM, gtag и Optimize. Пока спасает заголовок сервера; при смене хостинга или конфигурации возможны «кракозябры».

В main.css (строка 333) есть правило с картинкой ../img/main_new/10.JPG, которой в проекте нет — в папке лежат только файлы с 1 по 9. Каждый показ этого блока даёт 404 в логе.

Политика и согласие на обработку персональных данных на сайтах есть и в футер выведены — это хорошо. Но баннера-уведомления о cookie и аналитике нет ни на одном сайте, при том что Метрика работает с включённым вебвизором, то есть записывает поведение посетителя. В самих документах не указана дата последней редакции.

Иконка со ссылкой на Instagram стоит в навигации. Ресурс из России недоступен, а компания-владелец признана в РФ экстремистской — для коммерческого сайта это лишний риск при нулевой пользе: ссылка всё равно никуда не ведёт.