Как технически проверить сайт агентства или подрядчика перед оплатой

Клиенты и коллеги иногда просят: посмотри на этот сайт, можно ли им доверять, прежде чем переводить деньги или подписывать договор. Формально это не разработческая задача, но набор технических проверок, которым мы пользуемся каждый день для диагностики чужих систем, отлично работает и для оценки репутации сайта агентства, подрядчика или сервиса. Ниже рабочий чек-лист, который можно пройти за 15-20 минут с обычным терминалом и браузером, без платных сервисов проверки репутации.

WHOIS и возраст домена

Первая команда, которую стоит запустить, это whois с именем домена. Нас интересуют три поля: дата регистрации, дата окончания регистрации и регистратор. Домен, зарегистрированный две недели назад, но уже с «многолетней историей успеха» на главной странице, явное расхождение. Короткий срок регистрации на один год без автопродления на несколько лет вперёд также настораживает: серьёзный бизнес обычно продлевает домен заранее на длительный срок, чтобы не потерять его по ошибке. Полезно также посмотреть историю через открытые веб-архивы: если архив показывает, что год назад на этом же домене был совершенно другой бизнес на другом языке, сайт мог быть перекуплен для нового проекта, и прежняя репутация домена сюда не переносится.

whois example.com | grep -iE "creation|expiry|registrar"
curl -sI https://example.com | head -20

TLS-сертификат и инфраструктура

Команда openssl s_client с флагом showcerts или просто клик на замок в адресной строке браузера показывает издателя сертификата и срок действия. Бесплатный сертификат сам по себе ни о чём плохом не говорит, его используют и крупные компании, но стоит проверить дату выпуска: если сертификат выпущен в день проверки, а домену должно быть несколько лет, это ещё один сигнал о недавнем пересоздании инфраструктуры. Дополнительно полезно посмотреть заголовки ответа сервера и используемый хостинг: массовый shared-хостинг с десятками тысяч доменов на одном IP типичен и для легитимных небольших агентств, и для одноразовых сайтов, поэтому сам по себе этот признак не решающий, но в сумме с остальными важен.

• Проверьте, корректно ли http-версия сайта редиректит на https без смешанного контента
• Посмотрите заголовки безопасности: их отсутствие не доказательство мошенничества, но говорит об уровне инженерной культуры
• Через публичные базы сертификатов можно посмотреть историю выпущенных сертификатов на домен и увидеть другие поддомены, которые не видны в навигации

Юридические реквизиты и политика данных

Серьёзная организация обязана в большинстве юрисдикций указывать юридическое название, регистрационный номер и физический адрес, обычно в разделе «О нас», «Контакты» или в футере. Стоит сверить этот номер в открытом государственном реестре юридических лиц своей страны: если компания зарегистрирована, запись будет содержать дату регистрации, статус и иногда учредителей. Отдельно стоит прочитать политику обработки персональных данных не по её длине, а по конкретике: какие данные собираются, с кем делятся, можно ли их удалить по запросу. Общий текст, скопированный с другого сайта, это легко проверить поиском по уникальной фразе из середины документа, признак того, что юридическую часть сайта никто не писал под конкретный бизнес.

Признаки шаблонного или сгенерированного сайта

Открыв исходный код страницы, можно быстро понять, собран ли сайт из уникального дизайна или это массовый шаблон с минимальными правками. Признаки: имена CSS-классов, скопированные из популярного конструктора без единой адаптации; фотографии персонала, которые находятся обратным поиском по картинке на сток-фотобанках или на других, не связанных друг с другом сайтах; блок с отзывами, где у всех аватарок одинаковый стиль генерации или одинаковые имена встречаются на сайтах разных компаний. Отдельный сигнал, страница с командой, где у сотрудников нет профилей в профессиональных соцсетях, которые ссылаются обратно на эту компанию.

Отзывы и внешние упоминания

Отзывы на самом сайте агентства ничего не доказывают, их легко написать самостоятельно. Ценность представляют упоминания на независимых площадках: профильные форумы, реестры и каталоги отрасли, упоминания в новостях или на конференциях. Стоит обратить внимание на даты: если все независимые упоминания появились в один короткий период, а до и после тишина, это нетипично для живого бизнеса с историей. Полезно также проверить, есть ли у компании записи в открытых судебных реестрах там, где они публичны, не как доказательство вины, а как источник дополнительного контекста.

Итоговый чек-лист

Как агрегировать сигналы в одно решение

Отдельный технический сигнал почти никогда не даёт однозначного ответа: молодой домен бывает у новой, но вполне легитимной компании, а шаблонный дизайн может быть у студии, которая просто не вложилась в уникальный фронтенд. Решение принимается по сумме сигналов, а не по одному флагу. Практический подход: присвоить каждому пункту чек-листа вес в зависимости от контекста сделки. Для разовой покупки недорогого товара хватает базовой проверки TLS и отзывов. Для долгосрочного контракта с переводом крупной суммы стоит пройти весь список, включая юридический реестр и обратный поиск фотографий, и зафиксировать результат письменно, прежде чем переходить к оплате.

Стоит отдельно проговорить, что сама по себе тема сайта (образовательные услуги, консалтинг, подрядные работы) не влияет на набор технических проверок: механика due diligence одинакова для любой отрасли. Меняется только то, какие независимые источники стоит сверять дополнительно, например, для регулируемых видов деятельности в некоторых странах существуют отдельные государственные реестры лицензий, и их наличие или отсутствие тоже можно проверить тем же способом, что и обычную регистрацию юридического лица.

Стоит отдельно упомянуть ловушку, в которую попадают даже внимательные проверяющие: избыточное доверие к оформлению. Современные конструкторы сайтов и шаблоны дают визуально аккуратный результат даже без реального бизнеса за ним, поэтому красивый дизайн, адаптивная вёрстка и быстрая загрузка страницы не являются сигналом надёжности сами по себе, это просто означает, что у владельца сайта было достаточно денег на хороший шаблон или подрядчика. Технические проверки из этого чек-листа ценны именно потому, что проверяют то, что нельзя красиво оформить без реального соответствия: регистрацию в государственном реестре, историю домена, независимые упоминания за пределами самого сайта.

Если по итогам проверки остаются сомнения, а сумма сделки значительная, разумно предложить промежуточный шаг: частичная предоплата с оставшейся суммой по факту приёмки работы, либо оплата через сервис с защитой покупателя, где это технически возможно. Такой компромисс снимает часть риска без необходимости полностью отказываться от сотрудничества с новым подрядчиком, который просто не успел нарастить историю.

1. Возраст домена и совпадение с заявленной историей компании
2. TLS-сертификат и инфраструктура без явных противоречий
3. Юридические реквизиты, проверяемые в государственном реестре
4. Политика данных написана конкретно, а не скопирована
5. Фото команды не встречаются на других, не связанных сайтах
6. Независимые упоминания распределены во времени, а не сконцентрированы в одном коротком окне