Домен и DNS у подрядчика
Домен оформлен на личный аккаунт фрилансера или студии. DNS-зона
у того же провайдера. Восстановление владения — отдельный сюжет.
SSL и сертификаты «на честном слове»
Сертификат продлевается вручную одним человеком. Алёрта о
скором истечении нет. Падение сайта по HTTPS — вопрос времени.
Бэкапы не проверялись
«Бэкапы есть» часто означает «настроены, но никто никогда не
восстанавливался». Проверяем фактически.
Секреты в репозитории
API-ключи, токены платёжных систем и пароли БД закоммичены в
код. После увольнения сотрудника подрядчика они всё ещё в
истории.
Аналитика дублирует или теряет события
Метрика и GA4 считают цели по-разному, теги дублируются после
миграций, отправка форм не доходит до целей.
Сломанная разметка и редиректы
После редизайна редиректы реализованы частично, каноникал
указывает не туда, sitemap отдаёт удалённые страницы. В индексе —
мусор.
Тяжёлые ассеты и раздутый JS
Картинки без сжатия и обрезки, мегабайтные шрифты, бандлы без
код-сплиттинга. Время до интерактивности — у красной зоны Core
Web Vitals.
Админка с дыркой
Админ-панель доступна с интернета без двухфакторки, на простых
паролях. Логи доступа никто не смотрит.
Формы и письма теряются
Часть заявок не приходит на почту: SMTP падает, формы не
валидируют ошибки, нет повторной отправки. CRM-интеграция
молчит.
Оплаты «иногда не проходят»
Платёжные провайдеры обновили API, обработка вебхуков
реализована наполовину, статусы заказов уезжают. Деньги
приходят, заказ остаётся «новым».
Кеш живёт своей жизнью
CDN и серверный кеш отдают устаревшие версии страниц,
инвалидация ручная, изменения не доезжают до пользователя.
Нет логов и мониторинга
При падении смотреть некуда: ни логов, ни алёртов. Мониторинг
либо не подключался, либо сломался давно.