Чек-лист безопасности вайб-кодинга: интерактивный

Отмечайте проверки по мере выполнения. Прогресс сохраняется только в вашем браузере на этом устройстве, ничего никуда не отправляется. Каждый пункт ведёт к руководству, где показано, как это сделать.

Шаг 1: секреты и ключи

Нет секретов в коде, промптах и скриншотах Как
.env в .gitignore и никогда не попадал в коммиты Как
В браузер попадают только публикуемые ключи Как
Включены проверка секретов и push protection, утёкшие ключи заменены Как
На каждом платном API заданы лимиты расходов и оповещения Как

Шаг 2: контроль доступа

Тест двух пользователей пройден: пользователь B не видит данные A Как
Row-level security или правила базы включены для каждой таблицы Как
Админские маршруты проверяются на сервере, а не только скрыты Как
Двухфакторная аутентификация на админке, хостинге и Git Как
У входа и сброса пароля есть ограничение частоты Как

Шаг 3: код и зависимости

Код про деньги, вход, файлы и базу данных прочитан Как
Запросы к базе параметризованы Как
Каждая зависимость проверена, lock-файл закоммичен Как
Режим отладки на проде выключен Как

Шаг 4: защита сервера

SSH только по ключам, без входа root Как
Файрвол с запретом по умолчанию, разрешены SSH, 80 и 443 Как
Автоматические обновления безопасности включены Как
Приложение работает от обычного пользователя, не от root Как
fail2ban или аналог работает Как

Шаг 5: публичная поверхность

Публично открыты только порты 22, 80 и 443 (проверено через ss -tlnp) Как
Базы данных и кэши слушают localhost Как
HTTPS и заголовки безопасности включены Как
Порты Docker привязаны к 127.0.0.1, docker.sock не смонтирован Как
.env и .git нельзя скачать с домена Как

Шаг 6: злоупотребления и расходы

У дорогих маршрутов есть ограничение частоты Как
Платные API вызываются только с сервера, с квотами на пользователя Как
Перед сайтом стоит CDN или прокси Как

Шаг 7: ИИ-агенты

Разработка и продакшен разделены; у агента только данные для разработки Как
У агента минимально достаточные права, без root Как
Разрушительные действия требуют подтверждения, работа идёт в ветке Как
В проекте есть файл правил безопасности Как

Шаг 8: бэкапы

Бэкапы 3-2-1 работают, дамп базы делается по расписанию Как
Одну копию нельзя изменить или удалить с сервера Как
Восстановление проверено в этом месяце Как

Часто задаваемые вопросы

Как пользоваться этим чек-листом?

Проходите шаги по порядку и отмечайте пункт, когда он выполнен. Каждый пункт ведёт к руководству с точными командами. Список сохраняется в браузере, так что к нему можно вернуться позже.

Отправляется ли мой прогресс куда-нибудь?

Нет. Прогресс хранится только в вашем браузере на этом устройстве (локальное хранилище). Очистка данных сайта или другой браузер начнут список заново.

Как часто проходить чек-лист?

Пройдите его полностью перед запуском и затем раз в месяц, а нужные шаги повторяйте после крупных изменений: новой базы, нового провайдера или допуска ИИ-агента к продакшену.

Чек-лист безопасности перед запуском приложения, написанного с ИИ