Безопасность: что мы сделали до того, как вы спросили

Безопасность сайта обычно вспоминают после происшествия. Перечислим, что уже сделано — коротко и по делу.

Деньги#

• Цену нельзя подделать. Состав заказа читается из базы, а не из формы браузера: подменить цену в инструментах разработчика не выйдет.
• Уведомлениям об оплате не верят на слово. Система переспрашивает платёжную систему или проверяет подпись — и обязательно сверяет сумму.
• Товар не продаётся дважды. При оформлении строка товара блокируется, поэтому два покупателя не купят последний экземпляр.

Доступ#

• Двухфакторный вход по коду из приложения — подойдёт любое, включая российские
• Коды восстановления на случай потери телефона
• Ограничение попыток входа и журнал входов

Данные посетителей#

• Ни один посторонний сервис не узнаёт о заходе посетителя
• Счётчик посещаемости включается только с согласия посетителя
• Карта на странице контактов загружается по клику, а не сама

Чужой код в содержимом вычищается при сохранении: обработчики событий, скрипты и ссылки вида javascript: не попадут на страницу, даже если их вставить в редактор.