Как мы проверяем сайт

Зачем. Закон РК «О персональных данных» (ст. 12 п. 2) требует хранить базу с персональными данными граждан Казахстана на территории страны. Заявки, заказы и кабинеты на сервере в Германии или России, нарушение.

Как исправить. Перенесите сайт или хотя бы базу с заявками и заказами к казахстанскому хостингу (PS.kz, Hoster.kz, QazCloud и др.) или держите копию базы в РК. Если сайт за Cloudflare, сверьте страну сервера у хостинга.

страны: KZ · kz.data-localization

Источники: Наш гайд по теме · Закон РК о персональных данных

Зачем. Без HTTPS браузер помечает сайт как небезопасный, а всё, что вводят посетители, идёт открытым текстом.

Как исправить. Выпустите сертификат (Let’s Encrypt бесплатно) и включите HTTPS на сервере.

для всех стран · security.https

Источники: Наш гайд по теме · MDN: заголовок HSTS

Зачем. Старые ссылки и ручной ввод адреса открывают http-версию. Она должна сразу уводить на защищённую.

Как исправить. Настройте постоянное перенаправление (301) со всех http-адресов на https.

для всех стран · security.http-redirect

Источники: Наш гайд по теме · MDN: заголовок HSTS

Зачем. С просроченным или чужим сертификатом браузер показывает страшное предупреждение, и почти все уходят.

Как исправить. Настройте автоматическое продление сертификата и проверьте, что он выписан на этот домен.

для всех стран · security.certificate

Источники: Наш гайд по теме

Зачем. Заголовок говорит браузеру всегда открывать сайт по HTTPS, даже если человек набрал http://.

Как исправить. Добавьте заголовок в настройках сервера.

для всех стран · security.hsts

Источники: Наш гайд по теме · MDN: заголовок HSTS

Зачем. Три заголовка закрывают частые атаки: подмену типа файла, встраивание сайта в чужую страницу и утечку адресов страниц.

Как исправить. Добавьте недостающие заголовки в настройках сервера.

для всех стран · security.headers

Источники: Наш гайд по теме · MDN: Content-Security-Policy · OWASP: защитные заголовки

Зачем. Картинки и скрипты по http на https-странице браузер блокирует или помечает сайт как небезопасный.

Как исправить. Замените http:// на https:// во всех ссылках на картинки, скрипты и стили.

для всех стран · security.mixed-content

Источники: Наш гайд по теме · MDN: смешанный контент

Зачем. Номер версии в заголовках подсказывает, какие известные уязвимости пробовать.

Как исправить. Отключите вывод версии: server_tokens off в nginx, expose_php = Off в PHP.

для всех стран · security.server-version

Источники: Наш гайд по теме · OWASP: защитные заголовки

Зачем. По списку Google Safe Browsing Chrome, Firefox и Safari показывают красный экран «Сайт может быть опасен», а поиск помечает ссылку. Посетитель уходит, не дойдя до главной. Чаще всего сайт попадает туда после взлома, а владелец узнаёт последним.

Как исправить. Откройте Google Search Console → «Безопасность и ручные меры» → «Проблемы безопасности»: там видно, какие страницы заражены. Удалите вредоносный код, смените пароли и ключи, обновите CMS и плагины, затем нажмите «Запросить проверку».

для всех стран · security.safe-browsing

Источники: Наш гайд по теме · Google: статус сайта в Safe Browsing · Google: если сайт взломан

Зачем. Почтовые сервисы, антивирусы и фильтры в офисах сверяются со спам-листами Spamhaus и SURBL. Домен в таком списке значит: письма сайта не доходят, ссылки на него режут в мессенджерах и почте.

Как исправить. Откройте страницу проверки списка (check.spamhaus.org, surbl.org/surbl-analysis), узнайте причину и подайте заявку на удаление. Причину сначала устраните: взломанная форма, рассылка без согласия, заражённые страницы.

для всех стран · security.blocklists

Источники: Spamhaus: проверить домен или IP

Зачем. Взломанные сайты чаще всего не ломают, а тихо дописывают в них ссылки на казино, ставки, таблетки и займы. Владелец их не видит (их прячут), а Google видит и снимает сайт с выдачи за «взломанный контент».

Как исправить. Найдите эти ссылки в коде шаблона, виджетах и базе данных CMS и удалите. Смените пароли администраторов и FTP, обновите CMS и плагины, проверьте файлы сервера антивирусом. Если ссылки ставите вы сами, добавьте им rel="sponsored".

для всех стран · security.spam-links

Источники: Google: если сайт взломан

Зачем. CSP говорит браузеру, откуда можно грузить скрипты. Если на сайт попадёт чужой код (взломанная библиотека, внедрение в комментарий), без CSP он выполнится у всех посетителей.

Как исправить. Начните с режима отчётов (Content-Security-Policy-Report-Only), соберите список нужных источников и включите политику. Избегайте unsafe-inline и unsafe-eval.

для всех стран · security.csp

Источники: Наш гайд по теме · MDN: Content-Security-Policy · OWASP: защитные заголовки

Зачем. Заголовок запрещает странице и встроенным сторонним виджетам камеру, микрофон, геолокацию и платежи, если они вам не нужны.

Как исправить. Добавьте заголовок и закройте всё, чем сайт не пользуется.

для всех стран · security.permissions-policy

Источники: Наш гайд по теме · OWASP: защитные заголовки

Зачем. Если CDN с библиотекой взломают, поддельный файл выполнится у ваших посетителей. Атрибут integrity заставляет браузер отвергнуть файл, который не совпал с эталоном.

Как исправить. Добавьте integrity и crossorigin к скриптам и стилям с CDN или храните библиотеки у себя.

для всех стран · security.sri

Источники: Наш гайд по теме · MDN: целостность подресурсов (SRI)

Зачем. Открытый .git отдаёт весь исходный код с историей, .env и копии конфигов содержат пароли базы и ключи, дамп базы содержит данные клиентов. Такие файлы находят роботы-сканеры за часы после появления сайта.

Как исправить. Уберите файл с публичного адреса, закройте доступ к скрытым файлам (всё, что начинается с точки) настройкой сервера и смените все пароли и ключи, которые в нём были: считайте их утёкшими.

для всех стран · security.exposed-secrets

Источники: Наш гайд по теме · OWASP: защитные заголовки

Зачем. phpinfo, состояние сервера, список пользователей WordPress, открытый xmlrpc и phpMyAdmin подсказывают взломщику версии, логины и точки входа для подбора пароля.

Как исправить. Отключите или закройте паролем и списком адресов эти страницы. Для WordPress скройте /wp-json/wp/v2/users от гостей.

для всех стран · security.exposed-info

Источники: Наш гайд по теме · OWASP: защитные заголовки

Зачем. Исследователь, нашедший дыру, должен знать, кому написать. Без контакта он промолчит или опубликует находку открыто.

Как исправить. Создайте файл /.well-known/security.txt с контактом и сроком действия (RFC 9116).

для всех стран · security.security-txt

Источники: RFC 9116: формат security.txt

Зачем. CAA называет центры сертификации, которым разрешено выпускать сертификаты для вашего домена. Без неё подставной сертификат может выпустить любой.

Как исправить. Добавьте в DNS запись CAA с вашим центром сертификации.

для всех стран · domain.caa

Источники: Let’s Encrypt: записи CAA

Зачем. MTA-STS запрещает почтовым серверам отправлять письма вашему домену без шифрования, поэтому письма клиентов нельзя перехватить в пути.

Как исправить. Добавьте TXT-запись _mta-sts и опубликуйте политику по адресу mta-sts.ваш-домен/.well-known/mta-sts.txt.

для всех стран · domain.mta-sts

Источники: Наш гайд по теме

Зачем. Закон «О персональных данных» (152-ФЗ, ст. 18 ч. 5) требует записывать, хранить и обновлять персональные данные граждан России в базах на территории России. Заявки и заказы в базе на сервере за рубежом считаются нарушением.

Как исправить. Держите базу с заявками, заказами и аккаунтами на российском хостинге. Если сайт за CDN, уточните у хостинга, где физически стоит база.

страны: RU · ru.data-localization

Источники: Закон 152-ФЗ о персональных данных

Зачем. Без SPF кто угодно может слать письма от имени вашего домена: мошенники так рассылают «счета» вашим клиентам, а ваши настоящие письма чаще попадают в спам.

Как исправить. Добавьте в DNS TXT-запись SPF со списком серверов, которые отправляют вашу почту. Если почты на домене нет, запретите отправку совсем.

для всех стран · domain.spf

Источники: Наш гайд по теме · Google: настройка SPF

Зачем. DMARC говорит почтовым сервисам, что делать с поддельными письмами от вашего имени. С 2024 года Gmail и Yahoo не принимают массовые рассылки без него.

Как исправить. Если записи _dmarc нет, добавьте её: начните с p=none и отчётов на свою почту. Если p=none уже стоит и отчёты показывают, что ваши письма проходят проверку, переведите запись на p=quarantine, позже на p=reject.

для всех стран · domain.dmarc

Источники: Наш гайд по теме · Google: настройка DMARC

Зачем. Если домен не продлить вовремя, сайт и почта перестают работать в один день, а освободившийся адрес могут перекупить.

Как исправить. Включите автопродление у регистратора и проверьте, что привязанная карта действует.

для всех стран · domain.expiry

Зачем. Cookie без Secure уходит и по незащищённому соединению, а без SameSite ею проще воспользоваться на чужом сайте. Сессионные cookie без HttpOnly может прочитать вредный скрипт.

Как исправить. Добавьте к cookie флаги Secure, HttpOnly (для сессий) и SameSite=Lax.

для всех стран · security.cookie-flags

Источники: Наш гайд по теме · MDN: флаги cookie

Зачем. Метка noindex на главной выкидывает сайт из поиска целиком.

Как исправить. Уберите noindex из meta robots и заголовка X-Robots-Tag на главной.

для всех стран · seo.home-indexable

Источники: Google: robots.txt

Зачем. Заголовок страницы (title) поисковик показывает в выдаче как ссылку. Длинный обрезается, одинаковые путают.

Как исправить. Дайте каждой странице свой заголовок до 60 символов, главное слово ближе к началу.

для всех стран · seo.title

Источники: Google: как заголовок попадает в выдачу

Зачем. Описание (meta description) часто становится текстом под ссылкой в выдаче. От него зависит, нажмут ли на результат.

Как исправить. Напишите для каждой страницы своё описание на 70–160 символов.

для всех стран · seo.description

Источники: Google: описание страницы в выдаче

Зачем. H1 говорит поисковику и программам для незрячих, о чём страница.

Как исправить. Оставьте на странице ровно один H1, остальные заголовки сделайте H2 и ниже.

для всех стран · seo.h1

Источники: Google: полезный контент · WCAG 1.3.1: структура и связи

Зачем. Canonical подсказывает поисковику, какой из похожих адресов главный, и не даёт дублям делить позиции.

Как исправить. Добавьте <link rel="canonical"> с полным адресом страницы.

для всех стран · seo.canonical

Источники: Google: основной адрес страницы (canonical)

Зачем. robots.txt подсказывает поисковикам, что обходить, и где лежит карта сайта.

Как исправить. Положите в корень сайта robots.txt со строкой Sitemap.

для всех стран · seo.robots-txt

Источники: Google: robots.txt

Зачем. Карта сайта помогает поисковику найти все страницы, особенно новые.

Как исправить. Сгенерируйте sitemap.xml (у большинства CMS это настройка) и укажите его в robots.txt.

для всех стран · seo.sitemap

Источники: Google: карта сайта

Зачем. Если на выдуманный адрес сервер отвечает «всё хорошо» (200), поисковик индексирует пустышки.

Как исправить. Настройте ответ 404 для адресов, которых нет.

для всех стран · seo.not-found

Источники: Google: перенаправления

Зачем. Ссылка в никуда раздражает людей и тратит время поисковика впустую.

Как исправить. Исправьте или удалите ссылки из списка.

для всех стран · seo.broken-links

Источники: Google: ссылки, которые видит поисковик

Зачем. Разметка schema.org объясняет поисковику, что на странице: статья, товар, организация. Из неё строятся расширенные сниппеты.

Как исправить. Добавьте JSON-LD хотя бы с Organization и WebSite на главной.

для всех стран · seo.structured-data

Источники: Наш гайд по теме · Google: структурированные данные

Зачем. Теги og:title и og:image задают заголовок и картинку, когда ссылкой делятся в мессенджерах и соцсетях.

Как исправить. Добавьте og:title, og:description и og:image 1200×630.

для всех стран · seo.social-preview

Источники: Google: структурированные данные

Зачем. Google оценивает сайт по мобильной версии. Без адаптации текст мелкий, а страница уезжает вбок.

Как исправить. Добавьте meta viewport и уберите элементы шире экрана.

для всех стран · seo.mobile

Источники: Наш гайд по теме · Google: сайт для мобильных · MDN: метка viewport

Зачем. Атрибут lang помогает поисковику показывать страницу нужной аудитории, а экранным чтецам правильно произносить текст.

Как исправить. Добавьте язык в тег html.

для всех стран · seo.language

Источники: MDN: атрибут lang

Зачем. hreflang показывает поисковику, какую версию страницы давать людям на каждом языке.

Как исправить. Проверьте коды языков и добавьте версию x-default.

для всех стран · seo.hreflang

Источники: Google: версии страницы на разных языках

Зачем. Каждый лишний переход добавляет задержку и теряет часть веса ссылок.

Как исправить. Сведите перенаправления к одному шагу: сразу на итоговый адрес.

для всех стран · seo.redirect-chain

Источники: Google: перенаправления

Зачем. Звёзды рейтинга, цена и наличие, вопросы-ответы, хлебные крошки и логотип в выдаче строятся из разметки schema.org. Если в ней нет обязательного поля, Google молча показывает обычную синюю ссылку, и по ней кликают реже.

Как исправить. Дополните разметку полями, которые названы в отчёте, и проверьте страницу в инструменте Google «Проверка расширенных результатов» (search.google.com/test/rich-results). Магазину нужны Product с offers (цена, валюта, наличие), всем сайтам: Organization с logo и BreadcrumbList.

для всех стран · seo.rich-results

Источники: Наш гайд по теме · Google: проверка расширенных результатов · Google: какие бывают расширенные сниппеты

Зачем. Google берёт адреса для обхода из карты сайта. Если в ней битые страницы и перенаправления, робот тратит время впустую и перестаёт доверять карте, а новые страницы попадают в поиск позже.

Как исправить. Оставьте в карте только адреса, которые отвечают 200 и совпадают с canonical. Уберите удалённые страницы и старые адреса с перенаправлением, добавьте lastmod с датой правки. В WordPress и Bitrix карту обычно чинит переобход плагина SEO.

для всех стран · seo.sitemap-health

Источники: Google: карта сайта

Зачем. Google оценивает опыт и надёжность источника (E-E-A-T) в том числе по тому, видно ли, кто написал текст и когда его обновили. ИИ-ассистенты охотнее цитируют страницы с автором и свежей датой.

Как исправить. Подпишите статьи именем автора со ссылкой на страницу о нём, покажите дату публикации и обновления. В разметку Article добавьте author, datePublished и dateModified.

для всех стран · seo.author-dates

Источники: Наш гайд по теме · Google: кто, как и зачем (E-E-A-T)

Зачем. Поисковикам и ИИ-ассистентам нужен текст, чтобы понять, чем вы занимаетесь. Главная из картинок и пары фраз проигрывает конкурентам в выдаче и не попадает в ответы ChatGPT.

Как исправить. Добавьте на главную 2–3 абзаца: кто вы, что предлагаете, для кого и где работаете, чем отличаетесь. Пишите словами, которыми ищут клиенты.

для всех стран · seo.thin-content

Источники: Google: полезный контент

Зачем. Значок показывается во вкладке и рядом с сайтом в выдаче Google. Без него сайт выглядит заброшенным и хуже запоминается.

Как исправить. Добавьте значок и подключите его в <head>.

для всех стран · seo.favicon

Источники: Google: значок сайта в выдаче

Зачем. Без <!DOCTYPE html> браузер включает режим совместимости со старыми версиями, а без указанной кодировки кириллица может превратиться в «кракозябры».

Как исправить. Начните документ с <!DOCTYPE html> и в самом начале <head> добавьте <meta charset="utf-8">.

для всех стран · seo.html-basics

Источники: MDN: DOCTYPE

Зачем. ChatGPT, Perplexity и обзоры ИИ в Google берут в ответ короткий абзац сразу под подзаголовком-вопросом: «Сколько стоит…», «Как выбрать…». Страница без таких подзаголовков реже попадает в цитаты, даже если текст хороший.

Как исправить. Сделайте часть подзаголовков h2 и h3 вопросами, которые задают клиенты, и ответьте на каждый в первых 1–2 предложениях под ним. В конце добавьте блок «Частые вопросы».

для всех стран · ai.answer-headings

Источники: Наш гайд по теме · Google: сайт в ИИ-обзорах

Зачем. ИИ-поиск и Google по запросам о ценах, законах и сроках предпочитают страницы с недавней датой обновления. Страница без даты или с датой двухлетней давности проигрывает свежей у конкурента.

Как исправить. Показывайте дату обновления и меняйте её только при реальной правке текста. Укажите dateModified в разметке.

для всех стран · ai.freshness

Источники: Наш гайд по теме · Google: сайт в ИИ-обзорах

Зачем. ChatGPT, Claude и Perplexity отвечают со ссылками на источники. Если их поисковые боты закрыты в robots.txt, сайт в эти ответы не попадёт.

Как исправить. Уберите Disallow для этих ботов в robots.txt.

для всех стран · ai.search-bots

Источники: Наш гайд по теме · OpenAI: роботы ChatGPT · Google: роботы Google

Зачем. Эти боты собирают тексты для обучения моделей. Закрыть их можно, на попадание в поиск это не влияет.

Как исправить. Решите сами: открыть или закрыть их в robots.txt.

для всех стран · ai.training-bots

Источники: Наш гайд по теме · OpenAI: роботы ChatGPT · Google: роботы Google

Зачем. Большинство ИИ-ботов не выполняют JavaScript. Если текст появляется только после скриптов, для них страница пустая.

Как исправить. Отдавайте основной текст сразу в HTML: серверный рендеринг или предварительная сборка страниц.

для всех стран · ai.content-without-js

Источники: Наш гайд по теме · Google: полезный контент

Зачем. Разметка Organization (название, логотип, соцсети) помогает поисковикам и ИИ связать сайт с компанией и не путать её с другими.

Как исправить. Добавьте на главную JSON-LD с типом Organization и ссылками на официальные соцсети в sameAs.

для всех стран · ai.entity

Источники: Наш гайд по теме · Google: структурированные данные

Зачем. Необязательная краткая памятка о сайте для ИИ-ассистентов. Google его не читает, польза небольшая.

Как исправить. Если хотите, положите в корень llms.txt с описанием сайта и главными ссылками.

для всех стран · ai.llms-txt

Источники: Наш гайд по теме · Описание формата llms.txt

Зачем. Политика объясняет, какие данные собирает сайт, зачем и как их удалить. Без неё сбор данных нарушает закон почти в любой стране.

Как исправить. Опубликуйте политику на отдельной странице и поставьте ссылку на неё в подвал каждой страницы.

страны: EU, KZ, RU, BY, US · docs.privacy-policy

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679) · Закон РК о персональных данных

Зачем. Политику ищут в подвале. Если ссылка есть только на главной, до неё не доберутся со статьи или карточки товара.

Как исправить. Добавьте ссылку в общий подвал сайта.

для всех стран · docs.policy-everywhere

Источники: Наш гайд по теме

Зачем. Хорошая политика называет, какие данные собираются, зачем, сколько хранятся, кому передаются, как их удалить и к кому обращаться.

Как исправить. Добавьте недостающие разделы. Пишите конкретно и простыми словами, без общих фраз.

страны: EU, KZ, RU, BY · docs.policy-content

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679)

Зачем. Баннер коротко говорит о cookies, а подробности (какие, зачем, на сколько) должны быть в документе.

Как исправить. Добавьте раздел о cookies в политику или отдельную страницу с их списком.

страны: EU, KZ, RU, BY · docs.cookies-described

Источники: Наш гайд по теме

Зачем. По почте человек отзывает согласие, просит удалить данные и присылает претензии.

Как исправить. Укажите адрес почты на странице контактов и в политике.

для всех стран · docs.contact-email

Источники: Наш гайд по теме

Зачем. Если сайт продаёт, покупатель заранее должен видеть условия: оплату, доставку, возврат.

Как исправить. Опубликуйте оферту или условия продажи и поставьте ссылку в подвал и в корзину.

страны: EU, KZ, RU, BY · docs.terms

Источники: Наш гайд по теме

Зачем. Покупатель должен знать, с кем заключает договор: название компании, регистрационный номер, адрес.

Как исправить. Разместите в подвале название компании или ИП, регистрационный номер (БИН, ИНН или ОГРН) и адрес.

страны: EU, KZ, RU, BY · docs.seller-details

Источники: Наш гайд по теме

Зачем. Продажа товара без цены в тенге или по цене выше указанной, нарушение закона о регулировании торговой деятельности. Цена в долларах или «у.е.» допустима только как дополнительная.

Как исправить. Покажите основную цену в тенге на карточках и в корзине, а валюту в скобках, если нужно.

страны: KZ · kz.price-tenge

Источники: Наш гайд по теме

Зачем. Контакты и сведения о продавце для покупателей в Казахстане должны быть на казахском и русском языках. Сайт только на русском, повод для жалобы и штрафа.

Как исправить. Добавьте версию /kk хотя бы для контактов, условий продажи, оплаты, доставки и возврата, и свяжите языки через hreflang.

страны: KZ · kz.kazakh-version

Источники: Наш гайд по теме

Зачем. Фразы «лучший», «№1», «гарантируем результат» без подтверждения считаются недостоверной рекламой (статья 455 КоАП РК).

Как исправить. Замените общие слова конкретикой: цифры, сроки, названия рейтингов со ссылкой на источник и год.

страны: KZ · kz.ad-claims

Источники: Наш гайд по теме

Зачем. Покупатель сверяет номер в реестре. Номер с опечаткой не находится и выглядит как подделка.

Как исправить. Проверьте цифры БИН/ИИН по свидетельству о регистрации и исправьте опечатку.

страны: KZ · kz.bin-valid

Источники: Наш гайд по теме

Зачем. Посетители и сервисы проверки репутации относятся с подозрением к домену младше полугода: так выглядят мошеннические магазины. Свежий домен не нарушение, но интернет-магазину придётся закрывать недоверие другими признаками.

Как исправить. Укажите реквизиты и адрес, добавьте отзывы, условия возврата и контакты, продлите домен на несколько лет.

для всех стран · trust.domain-age

Источники: Наш гайд по теме

Зачем. Покупатель в интернете вправе отказаться от товара и должен заранее видеть, в какой срок, на каких условиях и за чей счёт. Отсутствие условий — главный признак мошеннического магазина и частая причина претензий.

Как исправить. Опубликуйте страницу «Возврат и доставка»: срок возврата, состояние товара, кто платит за пересылку, сроки возврата денег, способы и стоимость доставки. Поставьте ссылку в подвал и в корзину.

страны: EU, KZ, RU, BY · docs.returns

Источники: Наш гайд по теме

Зачем. Покупатели и поисковые системы читают контакты как признак настоящего бизнеса. Только форма обратной связи без телефона и почты выглядит как попытка спрятаться.

Как исправить. Сделайте страницу «Контакты» с почтой, телефоном и адресом и поставьте ссылку в шапку или подвал.

для всех стран · docs.contacts

Источники: Наш гайд по теме

Зачем. Страница о компании объясняет, кто за сайтом. Поисковые системы и нейросети используют её, чтобы понять, можно ли доверять источнику.

Как исправить. Расскажите, кто вы, чем занимаетесь, где находитесь и как с вами связаться.

для всех стран · docs.about

Источники: Google: полезный контент

Зачем. Google и ИИ-ассистенты решают, можно ли доверять сайту, сверяя его с независимыми профилями: соцсети, карточки на картах, Википедия, деловые справочники. Сайт, который нигде больше не упомянут от своего имени, выглядит как анонимный.

Как исправить. Заведите карточку на картах (Google, 2ГИС, Яндекс), страницы в соцсетях и дайте на них ссылки в подвале. В разметку Organization добавьте поле sameAs со списком этих адресов.

для всех стран · trust.profiles

Источники: Наш гайд по теме · Google: разметка Organization (sameAs)

Зачем. Покупатели и поисковики проверяют, пишут ли о магазине не только он сам. Ссылка на карточку с отзывами на картах или на площадке отзывов снимает главное сомнение: «а есть ли реальные клиенты».

Как исправить. Добавьте на сайт ссылку на карточку с отзывами (Google Maps, 2ГИС, Яндекс, Trustpilot, Flamp) и попросите клиентов оставлять отзывы там. Если отзывы есть на самом сайте, разметьте их через Review и AggregateRating.

для всех стран · trust.reviews

Источники: Google: разметка отзывов

Зачем. Тексты со ссылками на законы, исследования и официальные данные Google читает как проверяемые, а ИИ-ассистенты чаще их цитируют. Статья без единой ссылки наружу выглядит как мнение, а не источник.

Как исправить. В важных статьях давайте ссылки на закон, исследование или официальную статистику там, где называете факт или цифру. Ссылайтесь на сам документ, а не на пересказ в чужом блоге.

для всех стран · trust.citations

Источники: Наш гайд по теме · Google: кто, как и зачем (E-E-A-T)

Зачем. Аналитика и рекламные пиксели ставят cookies, по которым человека узнают при следующих визитах. Законы о данных требуют сначала спросить разрешение.

Как исправить. Подключайте Google Analytics, Метрику, пиксели и рекламу только после нажатия «Принять». В Google Tag Manager для этого есть режим согласия (Consent Mode).

страны: EU, KZ, RU, BY · cookies.trackers-before-consent

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679)

Зачем. Человек должен узнать о cookies и сделать выбор до того, как они начнут работать.

Как исправить. Покажите баннер при первом визите: что собираете, зачем, и кнопки «Принять» и «Отклонить».

страны: EU, KZ, RU, BY · cookies.banner

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679)

Зачем. Если в баннере только «Принять», выбора нет. Европейские регуляторы требуют кнопку отказа на первом экране баннера.

Как исправить. Поставьте рядом с «Принять» кнопку «Отклонить» того же размера и так же заметную.

страны: EU, KZ, RU, BY · cookies.reject-button

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679)

Зачем. Бывает, что баннер есть, а счётчики всё равно грузятся после отказа. Для проверяющих это то же самое, что баннера нет.

Как исправить. После отказа не загружайте аналитику и рекламу, в том числе на следующих страницах. Проверьте вкладку «Сеть» в браузере после нажатия «Отклонить».

страны: EU, KZ, RU, BY · cookies.reject-works

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679)

Зачем. Каждый внешний сервис получает IP-адрес посетителя. Законы о данных спрашивают, в какие страны уходят данные и знает ли об этом человек.

Как исправить. Перечислите эти сервисы в политике конфиденциальности: что это, зачем и в какой стране.

страны: EU, KZ, RU, BY · cookies.third-parties

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679)

Зачем. Шрифты с fonts.googleapis.com грузятся с серверов Google и передают им IP посетителя. Суд Мюнхена в 2022 году признал это нарушением GDPR без согласия.

Как исправить. Скачайте шрифты и отдавайте их со своего сервера.

страны: EU · cookies.google-fonts

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679)

Зачем. В США согласие заранее не нужно, но жители Калифорнии вправе запретить продажу и передачу своих данных для рекламы. Если на сайте рекламные пиксели, ссылка отказа обязательна.

Как исправить. Поставьте в подвал ссылку «Do Not Sell or Share My Personal Information» (или «Your Privacy Choices») на страницу отказа и уважайте сигнал браузера Global Privacy Control.

страны: US · us.privacy-choices

Источники: Наш гайд по теме · CPPA: правила и регулятор CCPA (Калифорния)

Зачем. С 1 марта 2023 года (152-ФЗ, ст. 12) передача персональных данных за границу, включая счётчики и виджеты иностранных компаний, требует уведомления Роскомнадзора до начала передачи. Роскомнадзор относит к ней и работу Google Analytics.

Как исправить. Составьте список зарубежных сервисов, которые получают данные посетителей, подайте уведомление в Роскомнадзор и укажите эти сервисы и страны в политике. Либо замените их российскими аналогами.

страны: RU · ru.cross-border

Источники: Закон 152-ФЗ о персональных данных

Зачем. Человек должен видеть, что будет с его данными, там же, где он их вводит.

Как исправить. Под каждой формой, где просите имя, телефон или почту, добавьте строку со ссылкой на политику конфиденциальности.

страны: EU, KZ, RU, BY · forms.policy-link

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679)

Зачем. В России и Казахстане личные данные собирают с согласия человека, и это согласие нужно уметь доказать.

Как исправить. Добавьте неотмеченную галочку согласия со ссылкой на политику и не отправляйте форму без неё. На сервере сохраняйте дату, время и версию текста согласия.

страны: KZ, RU, BY · forms.consent

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679) · Закон РК о персональных данных

Зачем. Согласие, отмеченное за человека, не считается согласием: он его не давал.

Как исправить. Уберите атрибут checked у галочки согласия, человек ставит её сам.

страны: EU, KZ, RU, BY · forms.prechecked-consent

Источники: Наш гайд по теме · Текст GDPR (ЕС 2016/679)

Зачем. По http данные идут открытым текстом, их можно перехватить, например в общественном Wi-Fi.

Как исправить. Отправляйте формы только на адреса https://.

для всех стран · forms.https

Источники: MDN: смешанный контент

Зачем. Форма с методом GET кладёт почту и телефон прямо в адрес. Он сохраняется в истории браузера, логах сервера и у счётчиков.

Как исправить. Для форм с личными данными укажите method="post".

для всех стран · forms.data-in-url

Источники: Текст GDPR (ЕС 2016/679)

Зачем. Человек с клавиатуры или программой чтения экрана иначе проходит всё меню на каждой странице. Метка main и ссылка «перейти к содержимому» позволяют сразу попасть к тексту.

Как исправить. Оберните основное содержимое в <main> и первой ссылкой на странице поставьте «Перейти к содержимому» с якорем на него.

для всех стран · a11y.landmarks

Источники: WCAG 2.4.1: обход повторяющихся блоков

Зачем. tabindex больше нуля заставляет курсор прыгать по странице не в том порядке, в каком элементы видны, и человек с клавиатуры теряется.

Как исправить. Уберите положительные значения tabindex, порядок задайте расположением элементов в разметке.

для всех стран · a11y.tabindex

Источники: WCAG 2.4.3: порядок фокуса

Зачем. Подписи к полям и связи для программ чтения экрана находят элемент по id. Когда id повторяется, подпись достаётся не тому полю, а скрипты работают с первым попавшимся.

Как исправить. Сделайте id уникальными в пределах страницы.

для всех стран · a11y.duplicate-ids

Источники: WCAG 4.1.2: название, роль, значение (уникальные id)

Зачем. Неожиданный звук заглушает программу чтения экрана и пугает посетителей. Автозапуск со звуком браузеры к тому же блокируют.

Как исправить. Уберите autoplay или запускайте видео без звука (muted) с кнопкой паузы.

для всех стран · a11y.autoplay

Источники: WCAG 1.4.2: управление звуком

Зачем. Без ячеек-заголовков (th) программа чтения экрана зачитывает цифры без пояснения, к чему они относятся.

Как исправить. Сделайте шапку таблицы ячейками <th>, для заголовков строк добавьте scope.

для всех стран · a11y.table-headers

Источники: WCAG 1.3.1: структура и связи

Зачем. Атрибут autocomplete позволяет подставить имя, почту и телефон одним касанием. Людям с нарушением моторики и памяти это заметно легче, а покупки доходят до конца чаще.

Как исправить. Добавьте autocomplete="name", "email", "tel" и подобные значения полям формы.

для всех стран · a11y.autocomplete

Источники: WCAG 1.3.5: назначение полей ввода

Зачем. Подпись (alt) читают незрячим людям и поисковикам. Без неё картинка для них пустое место.

Как исправить. Добавьте alt с описанием картинки. У чисто декоративных поставьте alt="".

для всех стран · a11y.image-alt

Источники: WCAG 1.1.1: тексты для картинок

Зачем. Подсказка внутри поля пропадает при вводе, а программа чтения экрана без подписи не скажет, что вводить.

Как исправить. Свяжите каждое поле с <label for> или добавьте aria-label.

для всех стран · a11y.form-labels

Источники: WCAG 3.3.2: подписи к полям

Зачем. Людям с плохим зрением нужно увеличивать текст. Если в метке viewport запрещено масштабирование, они не смогут прочитать страницу на телефоне.

Как исправить. Уберите user-scalable=no и maximum-scale=1 из метки viewport.

для всех стран · a11y.viewport-zoom

Источники: WCAG 1.4.4: изменение размера текста · MDN: метка viewport

Зачем. Ссылка без текста или «здесь», «подробнее» ничего не говорит программе чтения с экрана и поисковику о том, куда она ведёт.

Как исправить. Напишите, куда ведёт ссылка («Условия доставки»), а у значков без подписи добавьте aria-label.

для всех стран · a11y.link-text

Источники: WCAG 2.4.4: назначение ссылки

Зачем. Заголовки образуют оглавление страницы. Пропуск уровня (после H2 сразу H4) сбивает людей, которые ходят по странице с помощью заголовков, и поисковик.

Как исправить. Идите без пропусков: H1, потом H2, внутри него H3 и так далее.

для всех стран · a11y.heading-order

Источники: WCAG 1.3.1: структура и связи

Зачем. Кнопка с одним значком без подписи для незрячего человека просто «кнопка»: он не поймёт, что она делает.

Как исправить. Добавьте кнопке видимый текст или aria-label.

для всех стран · a11y.button-name

Источники: WCAG 4.1.2: название и роль

Зачем. Карта, видео или виджет во встроенной рамке без названия не опознаются программой чтения с экрана.

Как исправить. Добавьте рамке атрибут title: что внутри.

для всех стран · a11y.iframe-title

Источники: WCAG 4.1.2: название и роль

Зачем. Скорость на телефоне входит в ранжирование Google. Медленный сайт теряет позиции и посетителей, особенно с мобильного интернета.

Как исправить. Сожмите картинки (AVIF/WebP), отложите сторонние скрипты, уберите лишний JavaScript с первого экрана, включите кэш и CDN.

для всех стран · perf.google-speed

Источники: Наш гайд по теме · web.dev: Core Web Vitals

Зачем. Тяжёлая страница долго открывается на мобильном интернете, и часть людей уходит, не дождавшись.

Как исправить. Сожмите картинки (WebP или AVIF), уберите лишние скрипты, грузите тяжёлое по мере прокрутки.

для всех стран · perf.weight

Источники: Наш гайд по теме · web.dev: Core Web Vitals

Зачем. Пока сервер думает, человек смотрит на белый экран. Это первое, что влияет на скорость сайта.

Как исправить. Включите кэширование страниц и CDN, проверьте тяжёлые запросы к базе.

для всех стран · perf.server-response

Источники: Наш гайд по теме · web.dev: время ответа сервера (TTFB)

Зачем. LCP: время, за которое появляется самый крупный блок первого экрана. Это одна из трёх метрик Core Web Vitals, по которым Google ранжирует сайты. Норма Google, до 2,5 секунды.

Как исправить. Сожмите картинку первого экрана (AVIF/WebP) и загружайте её сразу (fetchpriority="high"), уберите блокирующие скрипты и стили, включите кэш и CDN.

для всех стран · perf.lcp

Источники: Наш гайд по теме · web.dev: LCP, скорость главного блока

Зачем. CLS показывает, насколько сдвигается вёрстка, пока страница грузится. Человек целится в кнопку, а попадает в рекламу. Метрика Core Web Vitals, норма Google, до 0,1.

Как исправить. Указывайте ширину и высоту у картинок и видео, резервируйте место под баннеры и рекламу, не вставляйте блоки над уже показанным текстом.

для всех стран · perf.cls

Источники: Наш гайд по теме · web.dev: CLS, сдвиги вёрстки

Зачем. INP: сколько проходит от нажатия до реакции страницы. Если сайт «думает» дольше 0,2 секунды, кажется, что он завис. Метрика Core Web Vitals.

Как исправить. Разбейте тяжёлые скрипты на части, отложите сторонние виджеты и счётчики, уберите неиспользуемый JavaScript.

для всех стран · perf.inp

Источники: Наш гайд по теме · web.dev: INP, отзывчивость

Зачем. Без размеров браузер не знает, сколько места оставить, и текст прыгает вниз, когда картинка догружается. Google считает это за ухудшение страницы (CLS).

Как исправить. Укажите у каждой картинки width и height (или задайте aspect-ratio в CSS).

для всех стран · perf.image-size

Источники: Наш гайд по теме · web.dev: как убрать сдвиги от картинок

Зачем. Сжатие (gzip или brotli) уменьшает страницу в 3–5 раз: она быстрее грузится, особенно на мобильном интернете.

Как исправить. Включите gzip или brotli на сервере или в CDN для HTML, CSS и JavaScript.

для всех стран · perf.compression

Источники: Chrome: сжатие текста