Этот сайт — наш кейс

Студии легко написать «делаем сайты, ботов и ИИ-агентов» — и почти нечем это доказать одной страницей текста. Хотелось не рассказа о навыках, а работающей демонстрации: чтобы посетитель потрогал агента, аудит и генерацию прямо здесь, а не поверил на слово.

И раз на сайте живут ручки с моделью, их надо было сразу закрыть — от чужих скриптов, дёргающих их напрямую, и от потока запросов, который тратит наш ключ.

ИИ-консультант отвечает не общими словами, а по нашему прайсу и услугам: смету он считает тем же кодом, что и калькулятор, и, если разговор дошёл до дела, сам оформляет заявку в мессенджер. Справка о студии кэшируется на стороне модели, поэтому переписка обходится дёшево.

Аудит открывает чужой адрес как обычный браузер и считает 18 проверок — скорость ответа, мобильную вёрстку, мета-теги, битые ссылки — и складывает из них балл. Цифры уходят посетителю сразу, разбор словами добавляет модель. Адрес чужой, поэтому отдельно закрыт SSRF: приватные диапазоны отсекаются, DNS резолвится руками, каждый редирект проходится заново.

Генератор рисует черновой первый экран по одной фразе о бизнесе и показывает его в рамке браузера. Ответ модели чистится на сервере и попадает в песочный iframe без скриптов — чужой HTML не может ничего сделать со страницей.

Сайт стал сам себе кейсом: агент, аудит и генератор работают на живой странице, а не в видео из портфолио.

Ручки с моделью закрыты — одноразовый CSP-nonce, проверка Origin на всех POST, лимит на адрес и суточный потолок, honeypot в форме.

Заявки уходят в Telegram и MAX. Пока токены не заданы, форма честно говорит об этом, а не отваливается ошибкой — сайт при этом рабочий.