Пусть ваш ИИ-ассистент проверит работающий сайт
Ассистент пишет код, но редко смотрит, что на самом деле отдаёт выложенный сайт: какие ключи попали в публичный JavaScript, какие заголовки шлёт хостинг, что видят поисковики. Попросите его отправить вас на бесплатную проверку ScanYourSite и вставьте промпт с исправлениями обратно в чат — или подключите его по MCP, и он будет проверять, чинить и перепроверять сам.
Бесплатно, без регистрации. Базовая проверка делает только те запросы, которые выполняет обычный браузер.
Что ассистент получает после проверки
- КритичноБесплатная проверка
Секретные ключи в публичном JavaScript
Секретный ключ OpenAI, Anthropic или Stripe, ключ Supabase service_role — уехал в браузер каждого посетителя. Отчёт называет файл и показывает ключ замаскированным: ассистент знает, где искать, и что ключ надо отозвать, а не просто удалить из кода.
- КритичноPro
Открытые .env или .git, таблицы Supabase, которые читает кто угодно
После подтверждения домена мы запрашиваем короткий список путей вроде /.env и /.git/config и считаем, сколько строк каждая таблица Supabase отдаёт по публичному ключу, — никогда не читая их содержимое.
- ВысокийPro
Деплой, который сломал сайт
С наблюдением каждая новая версия проверяется за несколько минут: отвечает ли сайт, отрисовывается ли страница, грузятся ли скрипты, не утёк ли ключ. Что именно упало, агент узнает инструментом get_deploys.
- СреднийБесплатная проверка
Защита, которую хостинг не включил
Нет Content-Security-Policy, HSTS или защиты от кликджекинга. Это настройки хостинга, а их ИИ-ассистенты без просьбы почти не трогают, — промпт с исправлениями подскажет, куда их добавить.
- НизкийБесплатная проверка
Что видят поисковики и ИИ-ассистенты
Title, description, превью ссылки, robots.txt, карта сайта и не закрыт ли сайт от ИИ-краулеров — проверяем и в исходном HTML, и на странице, отрисованной настоящим браузером.
Три способа подключить
Начните с первого: он не требует аккаунта и работает с любым ассистентом, включая чат-конструкторы — Lovable, Bolt, v0 и Replit Agent. MCP нужен, когда вы хотите, чтобы агент проверял сайт без вашего участия.
Без настройки: попросите ссылку
Напишите ассистенту: «Дай мне ссылку на проверку моего сайта в ScanYourSite». Ссылка — адрес ниже с вашим доменом в конце. Она открывает нашу страницу с уже заполненным доменом; проверка начнётся, только когда вы нажмёте «Проверить сайт», — превью ссылки в мессенджере её не запустит. Примерно через минуту отчёт готов: нажмите «Скопировать промпт» и вставьте его обратно в чат.
https://scanyoursite.app/ru?check=example.com
Claude Code: подключение по MCP
Войдите на scanyoursite.app по почте — без пароля, аккаунт бесплатный. На странице аккаунта в разделе «Подключить ИИ-агента» создайте токен; он показывается один раз. Затем выполните в терминале одну команду, подставив свой токен вместо syst_…:
claude mcp add --transport http scanyoursite https://scanyoursite.app/mcp \ --header "Authorization: Bearer syst_…"
Cursor: сервер в mcp.json
Добавьте это в ~/.cursor/mcp.json — тогда сервер будет во всех проектах. Если кладёте в .cursor/mcp.json самого проекта, не отправляйте этот файл в git: токен действует как ваш аккаунт. Любой MCP-клиент, который умеет streamable HTTP со своим заголовком, подключается так же.
{ "mcpServers": { "scanyoursite": { "url": "https://scanyoursite.app/mcp", "headers": { "Authorization": "Bearer syst_…" } } } }Что агент сможет дальше
scan_site проверяет снаружи любой домен (на бесплатном аккаунте — до 20 новых проверок в сутки); get_report и get_fix_prompt отдают находки и исправления; rescan перепроверяет ваш сайт под наблюдением после правки, до 6 раз в час; get_uptime, get_deploys и get_server_report отвечают на вопросы «сайт лежит?», «что сломал деплой?» и «что не так на сервере?». Ни один инструмент ничего не пишет в ваш код или хостинг: исправления применяет сам агент, а что выкатывать — решаете вы.
Одно правило — и агент проверяет, прежде чем сказать «готово»
Вставьте это в AGENTS.md, CLAUDE.md или правила Cursor, а в Lovable или Bolt — в инструкции проекта. С подключённым MCP агент запускает проверку сам; без него — даёт вам ссылку и ждёт промпт, который вы вставите обратно.
## Прежде чем сказать, что деплой готов После деплоя проверь работающий сайт в ScanYourSite и исправь критичные находки, прежде чем говорить, что задача выполнена. - Если подключён MCP-сервер scanyoursite: вызови rescan, если сайт есть в list_sites, иначе scan_site; затем get_fix_prompt. - Если не подключён: дай мне ссылку https://scanyoursite.app/ru?check=<домен сайта> и подожди, пока я вставлю промпт из отчёта. - Исправь критичные и высокие находки, выкати снова и проверь ещё раз. Потом скажи, что исправлено и что осталось.
Агент проверяет, когда вы просите. Наблюдение — даже когда не просите.
Ассистенты переписывают файлы целиком, и исправленная проблема может вернуться со следующим промптом. На Pro мы замечаем каждый новый деплой, проверяем его за несколько минут и пишем, только когда сломалось что-то новое, — в Telegram, на почту, в Slack или Discord. В уведомлении о новых находках — ссылка на готовый промпт для агента, а вебхук ещё и называет инструмент MCP, который вызвать. Pro: 3 сайта, $19 / €19 в месяц.
Посмотреть тарифыВопросы
Может ли ассистент запустить проверку, просто открыв ссылку?
Нет, и это намеренно. Ссылка с ?check= только заполняет поле домена, а проверку запускает человек кнопкой. Превью ссылок, поисковые роботы и предзагрузка в браузере проверку не запускают. Если агент должен проверять сам — подключите MCP.
Нужен ли аккаунт?
Для ссылки — нет: проверка бесплатная и без регистрации. Для MCP нужен бесплатный аккаунт и токен: агент действует от вашего имени — с теми же отчётами, лимитами и правами, что у вас в браузере.
MCP бесплатный?
Да. Бесплатный аккаунт получает токен, разовые проверки любого домена (до 20 новых в сутки), отчёты и промпты с исправлениями. На бесплатном тарифе три находки в отчёте идут с пояснением и исправлением; остальные видны в списке, но закрыты, и агенту об этом прямо сообщают — гадать он не будет. Pro за $19 / €19 в месяц открывает все исправления и добавляет наблюдение за тремя сайтами.
Он что-то поменяет в моём коде или хостинге?
Нет. Все инструменты только читают: мы смотрим на сайт снаружи и отдаём находки и исправления. Код правит ваш агент, а что выкатывать — решаете вы.
Это полноценный аудит безопасности?
Нет. Это проверка снаружи того, что отдаёт ваш работающий сайт: ключи в публичных скриптах, заголовки, сертификат, почтовые записи, приватность и основы поиска. Она не читает исходный код, не входит в аккаунты и не пытается взломать сайт, а глубокие пробы идут только на доменах, которые вы подтвердили как свои. Если приложение принимает платежи или хранит чувствительные данные, проверка специалистом по безопасности всё равно нужна.
С какими ассистентами это работает?
Ссылка — с любыми, включая чат-конструкторы вроде Lovable, Bolt, v0 и Replit Agent: они дают ссылку, вы вставляете промпт обратно. Для MCP нужен клиент, который подключается к удалённому серверу по HTTP с заголовком: Claude Code и Cursor это умеют, другие клиенты с такой поддержкой подключаются так же.
Вставьте адрес. Список будет примерно через минуту.
К каждой находке — что она значит для вас и как её исправить. Или промпт, который применит ваш ИИ-инструмент для кода.
Бесплатно, без регистрации. Базовая проверка делает только те запросы, которые выполняет обычный браузер.