Сайт оборонної компанії: вісім помилок, які ми знайшли в аудиті, і чому їх не завжди легко виправити

💡 Усі статті, обговорення, новини про DevOps — в одному місці. Приєднуйтесь до DevOps спільноти!

У вересні 2026 року ми в студії переглянули публічні сайти понад двадцяти українських оборонних виробників — від стартапів на десяток людей до компаній із сотнями працівників. Відкривали лише те, що бачить будь-який відвідувач: без сканерів і без спроб зайти глибше. Помилки повторюються, і частина з них — не про дизайн, а про безпеку. Компаній не називаю: мета в тому, щоб ви перевірили свій сайт раніше, ніж це зробить хтось інший.

1. Переліки підрозділів-клієнтів

Емблеми бригад на головній, блок «Нам довіряють» із назвами частин, розділ питань із переліком прикордонних загонів. Для відділу продажів це соціальний доказ. Для противника — готовий список того, з ким ви працюєте, а отже куди йде ваша техніка. Таке ми бачили щонайменше на трьох сайтах.

Стаття 114-2 Кримінального кодексу карає поширення відомостей про розміщення й переміщення військ в умовах воєнного стану. Перелік клієнтів до цього прямо не належить, але разом із фото, датами й описами «кейсів» розкриває більше, ніж здається на перший погляд.

2. Точна кількість техніки й місця роботи

Інвентар до одиниці, «база в такому-то місті», опис, де саме працюють групи. Окремий ризик — фото з телефона: вони зберігають GPS-координати в метаданих, якщо їх не очистити перед публікацією.

3. Сторонні трекери

Приблизно на третині сайтів працюють Google Tag Manager, Meta Pixel або пікселі конструкторів. Кожен передає Google чи Meta дані про відвідувачів: IP-адресу, пристрій, які сторінки вони дивилися. Серед відвідувачів оборонного сайту — закупівельники, військові, іноземні партнери. Відвідуваність можна рахувати й без передачі даних третім сторонам.

4. Домен і доступи

Ми натрапили на випадок, коли компанія втратила контроль над доменом: він веде на сторонній ресурс, а Google досі показує в пошуку її стару сторінку. Разом із доменом під загрозою пошта — листи партнерів можуть іти чужому власнику. Ще один випадок: у публічній шапці сайту було посилання на внутрішній сервіс компанії — такі входи варто прибирати з публічних сторінок. В обох випадках ми повідомили компаніям напряму.

5. Мова й службові написи

Трапляються сайти, де головна адреса відкриває англійську версію, хоча стаття 27 Закону про державну мову вимагає, щоб українська версія завантажувалася за замовчуванням. На українських сторінках — «Can’t send form», «Use tab to navigate», машинно перекладені написи шаблону магазину. Англійська версія лежить на технічній адресі конструктора або відкривається за незахищеним http, і браузер іноземного партнера показує «Не захищено».

6. Сайт відстає від компанії

Виріб кодифіковано — на сайті ні слова. Галузеві медіа пишуть про нову модель — на сайті старі характеристики. Новини закінчуються 2024 чи 2025 роком. Покупець, донор чи іноземний партнер після новини відкриває саме сайт і бачить компанію такою, якою вона була рік тому. Йдеться про те, що компанія вже оголосила публічно, — не про нові подробиці.

7. Шаблон інтернет-магазину для військової техніки

Кошик, знижки, «повернення та обмін», розділ «Покупцеві» — для засобів РЕБ чи перехоплювачів. Для держзамовника й фонду це виглядає несерйозно. А там, де компанія сама попереджає про підробки своїх виробів, на сайті часто немає жодного способу перевірити справжність.

8. Дрібниці, які коштують листів

Кнопка пошти, що відкриває не ту адресу. Сторінка «Контакти» без жодного контакту. Посилання на соцмережі розробника шаблону замість власних. Логотип, що вантажиться з тестового сервера й зникне, щойно той сервер вимкнуть.

Чому це не завжди виправляється за вечір

Видалити з сайту — не значить прибрати з інтернету. Сторінки лишаються в кеші Google і веб-архівах, і їх треба прибирати окремо: через інструмент видалення в Search Console та запити до архівів.

Конструктори на кшталт Weblium, Wix, Shopify чи Tilda не дають повного контролю. Службові написи, трекери самої платформи й заголовки безпеки часто неможливо змінити — лише переїхати на іншу платформу.

Повернення втраченого домену — процедура через реєстратора, яка займає тижні, а іноді неможлива зовсім.

І головне: що публікувати, вирішує не розробник, а керівник і безпековик компанії. Потрібен письмовий перелік — що можна, що не можна і хто погоджує кожну нову сторінку.

Для розробників: що закласти в проєкт від початку

Очищення метаданих зображень прямо в процесі збирання або завантаження — щоб жодне фото не потрапило на сайт із координатами, навіть якщо редактор забув. Заголовки безпеки (Content-Security-Policy, HSTS, X-Content-Type-Options) і перевірка їх на кожному релізі. Жодних сторонніх скриптів без погодження: аналітика — на своєму боці або без передачі даних третім сторонам. Домен — із блокуванням перенесення в реєстратора, двофакторним входом і автопродовженням, оформлений на компанію, а не на підрядника. І окремий крок перед кожною публікацією — вичитка на OPSEC людиною, яка знає, що саме не можна показувати.

Що перевірити на своєму сайті сьогодні

1. Відкрийте головну очима противника: чи є там назви підрозділів, кількість техніки, місця роботи?
2. Перевірте, на кого зареєстровано домен і коли спливає його оплата.
3. Подивіться, які сторонні скрипти вантажить сайт: у Chrome натисніть F12 і відкрийте вкладку Network.
4. Відкрийте головну адресу без «/uk» — якою мовою вона відкривається?
5. Натисніть кожну кнопку пошти й телефону на сторінці контактів.

Буду радий обговорити в коментарях: які ще помилки ви бачили на сайтах оборонних компаній і як вирішуєте питання OPSEC у своїх командах.