Печать доверия для приложений, собранных с ИИ
Собрал приложение за вечер? Проверь его за минуту.
ИИ-сборка создала миллионы приложений, которые никто не проверял. AppSeal сканирует ваш живой сайт на утечки секретов, открытые базы, дырявые админки и признаки заброшенности - и выдаёт оценку A+-E с бейджем для сайта.
Оценка техосмотра
Класс Aappseal.online
Проверка завершена 14.11.2026. Публичная верификация подтверждает класс и дату; полный отчёт с перечнем проверок доступен только инициатору скана.
Результаты носят информационный характер и не являются заключением аудита безопасности - правила и дисклеймер
Проблема уже здесь
413
AI-собранных приложений прошли наш внешний техосмотр
89%
из них не получают класс A - и это уже живые продакшены
83%
не настраивают CSP - базовый заголовок-щит от XSS
Цифры: наш массовый техосмотр от 14 ноября 2026 г., приложения из Show HN и GitHub. Полная статистика Статистика →
Как это работает
Вводите адрес
Только живой адрес приложения. Ничего не нужно устанавливать, доступ к коду не нужен - скан внешний.
Движок гоняет 125 проверок
Секреты и ключи в клиентском коде, открытые .env/.git, дырявые правила Firebase и Supabase, CORS, админки четырёх CMS, бэкапы и дампы, отладочные эндпоинты, source maps, заголовки, TLS, куки, ошибки СУБД в разметке, битые ссылки, заглушки - плюс ИИ-доверие: llms.txt, SPF/DMARC, трекеры без политики приватности.
Получаете оценку и план
Оценка A+-E, объяснение каждой проблемы человеческим языком, доказательства и 3D-бейдж, который показывает пользователям, что приложению можно доверять.
Что означает каждый ранг
Эталон96-100
Королевский аметист. Высший ранг для приложений без единого провала и с настроенными защитными заголовками.
Первый кейс: сайт аквацентра
Реальный домен, реальный деплой, реальный ИИ-агент · ноябрь 2026
Первичный аудит
A · 86
3 замечания: X-Frame-Options, CORS «для всех», пустой title
Промпт агенту
7 мин
агент закрыл два пункта одним конфиг-коммитом
Повторный скан
A · 91
заголовки на месте, CORS явный · класс подтверждён свежим сканом на 125 проверках
Ты ИИ-агент, дорабатывающий веб-приложение. Сайт: akulenok-tmz.ru. Независимый сканер AppSeal поставил оценку A (86/100). Ниже - все найденные проблемы. ## Проблемы (3) ### 1. X-Frame-Options отсутствует [warn, medium] ### 2. CORS «для всех» [warn, high] ### 3. Пустой title [warn, low]
Сайт семейного аквацентра собран с ИИ и живёт на Vercel. Внешний скан без доступа к коду нашёл типовые дыры деплоя. Кнопка «Промпт для ИИ-агента» скопировала отчёт, агент той же сессии внёс правки, повторный скан подтвердил результат.
Ни строчки бизнес-кода не переписано - только конфигурация деплоя.
Подтвердить подлинность этого скана →Публичный реестр проверенных приложений
Каждый класс A попадает в открытый реестр с индексируемой ссылкой на проект - бесплатный SEO-трафик и подтверждение доверия для пользователей. Готовим по нему отчёт «State of Vibe-Coded App Security».
Что проверяем
Пять категорий, от которых реально болит голова у вайб-кодеров. Четыре из них есть у всех, пятая - только у нас.
Секреты и утечки
[21 сигнатура]- Открытые .env и .git
- Ключи API в клиентском JS
- Firebase/Supabase без правил
- Дампы и бэкапы по прямой ссылке
+ ещё 17 проверок: git config, .svn/.hg, .DS_Store, Firebase, Supabase, манифесты, security.txt, source maps, сигнатуры AI-ключей (OpenAI, Anthropic), AWS, Stripe, Telegram Bot Token, crypto, generic
Заголовки и TLS
[26 правил]- CSP, HSTS, X-Frame-Options
- CORS «для всех»
- Протухший TLS-сертификат
- Cookie без защитных флагов
+ ещё 22 проверки: COOP/COEP/CORP, срок TLS, цепочка редиректов, HTTPS-редирект, сжатие, cookie-флаги по одному, версия сервера, Permissions-Policy, X-Content-Type-Options, Referrer-Policy
Админки и авторизация
[27 эндпоинтов]- Админ-панели на стандартных путях
- Отладочные эндпоинты на проде
- Бэкапы баз в веб-корне
- Доступ без rate limit
+ ещё 23 проверки: swagger/graphql, wp-json users, xmlrpc, Spring actuator, Laravel/ASP.NET/PHP debug, wp-debug/drupal, архивы и дампы, .bak, dir listing, дефолтные страницы
Живость и контент
[23 паттерна]- Шаблонные фразы и заглушки
- Ошибки «undefined» в разметке
- Битые внутренние ссылки
- Пустые title и description
+ ещё 19 проверок: soft-404, ошибки Django/PHP/СУБД в разметке, favicon, OG-теги, mixed content, SRI, версия jQuery, alt у изображений, каноникл
ИИ-доверие и гигиена
[28 проверок]- llms.txt и ИИ-краулеры
- SPF/DMARC против подделки писем
- Политика приватности против трекеров
- Открытые ИИ-прокси без авторизации
+ ещё 24 проверки: llms.txt, политика ИИ-краулеров в robots.txt, SPF/DMARC против подделки писем, версия TLS, sitemap.xml, JSON-LD, инвентарь сторонних скриптов, трекеры без политики приватности, открытые ИИ-прокси (/api/chat и др.)
Тарифы
Начните бесплатно. Платите, когда приложение начнёт зарабатывать.
Free
0 ₽
- 1 полный скан в день
- Оценка A+-E и полный отчёт
- Fix-prompt для ИИ-агента
Launch Pass
490 ₽
разовая покупка на 7 дней - без автосписаний
- Неделя безлимитных проверок одного домена
- Повторный скан сразу после фикса
- Фоновый перескан каждые 6 ч и алерт при падении класса
- PDF-отчёт и embed-бейдж доверия
Оплата происходит в Telegram-боте: домен подхватится из формы автоматически, email для чека спросит бот. Пропуск активируется сам сразу после оплаты.
Agency Pack · 1 490 ₽
5 пропусков Launch Pass оптом - для студий и серийных запусков: 5 доменов по 7 дней безлимита, PDF и бейджи для клиентов. Активация каждого домена командой /redeem в Telegram-боте, кредиты живут 30 дней. Разовая покупка, без автосписаний.
Platform · Индивидуально
API для платформ-конструкторов, white-label бейджи и массовый скан каталога приложений - по договорённости.
Частые вопросы
Нет. Скан идёт только по публично доступным страницам - ровно то, что видит любой посетитель: заголовки ответов, HTML, общедоступные файлы и DNS-записи. Никаких эксплойтов, никакой нагрузки сверх ~140 лёгких запросов за 20-45 секунд.
Пользователи не отличают хорошее приложение от дырявого. Оценка A+-E - короткий сигнал доверия, как значок SSL-замка: конверсия растёт, а вам не нужно объяснять словами, что вы следите за безопасностью.
Каждый проваленный пункт содержит объяснение и доказательства - большинство закрывается за вечер: убрать секреты из клиента, закрыть .env, поправить правила Firebase. Отчёт можно отдать ИИ-агенту и починить силами той же вайб-кодинг-сессии.
Отчёт доступен по ссылке и не содержит самих секретов - только факты находок и маскированные фрагменты. Полные ключи мы никогда не сохраняем и не показываем даже вам.
Обычно 20-45 секунд: около 140 лёгких запросов к публичным страницам. Нагрузка сопоставима с одним активным посетителем - ничего не ломаем и не кладём.
Работаем и с такими: движок открывает страницу в headless-браузере, дожидается отрисовки и сканирует уже собранную разметку. Если что-то нельзя проверить без исходников, в отчёте будет честная пометка о пропуске.
Автоматически: любой скан с классом A или A+ попадает в открытый реестр с индексируемой (dofollow) ссылкой на ваш домен - бесплатный SEO-сигнал доверия. Результаты ниже A остаются приватными.
Минимум. Мы не собираем email и не храним персональные данные: в системе остаются только домен пропуска и соль-хеш IP для лимита. Полный отчёт видит только инициатор скана по секретной ссылке; в реестр попадают лишь домен, класс и дата.