Безопасность перед релизом: security-checklist.md

Агент собрал сервис, всё работает, и тут выясняется: ключ от API нейросети лежит в коде страницы, и его видно любому через «Просмотр кода». Или чужой заказ открывается, если поменять цифру в адресе. Или форма входа принимает тысячу попыток в минуту, и кто-то за ночь перебирает пароли. Агент такие вещи не проверяет сам, если его не попросить, а ты не знаешь, что спрашивать.

security-checklist.md — список проверок под твой продукт по пяти направлениям: роли и доступы, секреты, пользовательский ввод, ограничение частоты запросов и зависимости. Большинство пунктов проверяются без знания кода: открыть адрес, сменить цифру, отправить форму десять раз подряд. Остальное агент проверит по коду и покажет, где проблема.

Что проверяет чек-лист

• 👥Роли

  Пользователь видит только свои данные. Чужой заказ, проект или счёт не открывается подменой номера в адресе. Админка закрыта для всех, кроме админов.

• 🔑Секреты

  Ключи API, пароли от базы и токены лежат только в .env на сервере. В коде, репозитории и браузере их нет.

• ✍️Ввод

  Формы не принимают скрипты и огромные файлы, загрузка проверяет тип, ошибки не показывают пользователю куски кода и запросов к базе.

• ⏳Частота и зависимости

  Вход, СМС, письма и запросы к нейросети ограничены по частоте. Библиотеки проверены командой аудита на известные уязвимости.

Как использовать

1. 1Опиши продукт

   Роли, какие данные хранятся, какие платные сервисы вызываются. Промпт шага 1 спросит остальное.

2. 2Собери security-checklist.md

   Отправь шаг 2. Сохрани ответ как security-checklist.md в папке docs проекта.

3. 3Пройди ручные пункты

   Заведи два тестовых аккаунта и проверяй доступы на них. Аккаунты реальных клиентов не трогай.

4. 4Запусти аудит агентом

   Промпт шага 3 агент выполняет в папке проекта на чтение. Каждую найденную проблему потом чини отдельной задачей.

Чтобы такие ошибки не появлялись снова, запиши правила безопасности в инструкцию агенту: готовый вариант — в Cursor Rules про безопасность.

Рядом по теме: Найди дыры в проекте до того, как их найдут другие, Найди ключи и пароли до того, как их найдут другие, Агент, которого не уговорят слить данные, статья «Что такое вайбкодинг» и Чек-лист «Перед запуском» (бесплатно).

Что дальше

• Матрица ролей и прав для SaaS — если ролей больше двух и непонятно, кто что может.
• Приёмка без поблажек — как проверить, что агент действительно исправил найденное.
• Короткая бесплатная версия проверок перед выкаткой — курс «Перед запуском»: 3 проверки и 3 промпта для Claude Code.