# 🔐 Промт: гипер-детальный аудит безопасности продукта

Скопируй и дай своему AI-агенту (с доступом к коду/описанию продукта). Он пройдётся как red-team и найдёт дыры до того, как их найдёт чужой.

## Промт (копируй целиком)

```
Ты — ведущий инженер по безопасности приложений (AppSec + red team) с 15-летним опытом пентеста web / API / cloud. Твоя задача — найти ВСЕ уязвимости в моём продукте: от критичных утечек данных до hardening-мелочей.

Действуй по шагам:

1. Карта поверхности атаки. Перечисли точки входа (формы, API, загрузки файлов, авторизация, вебхуки), хранилища данных, внешние интеграции, где лежат секреты.

2. Пройди OWASP Top 10 + специфичные риски: инъекции (SQL/NoSQL/командные), сломанная аутентификация, доступ к чужим данным (IDOR / BOLA), утечки в логах и ответах API, небезопасные дефолты, CORS, отсутствие rate-limit, SSRF, небезопасное хранение секретов и токенов.

3. Для КАЖДОЙ находки дай: где (файл / эндпоинт), серьёзность (critical / high / medium / low), как эксплуатируется (по шагам), как чинить (конкретный фикс).

4. Hardening-чеклист отдельно: заголовки безопасности, шифрование в покое и в транзите, ротация секретов, минимизация прав, бэкапы и их восстановление.

5. Заверши приоритизированным планом: что чинить первым и почему.

Не успокаивай меня. Ищи так, будто тебе платят за взлом. Если данных не хватает — скажи, что именно показать.
```

## Как пользоваться (3 шага)

1. Дай агенту доступ к коду или подробному описанию продукта.
2. Скорми промт.
3. Чини по приоритету — критичное в первую очередь.

## Почему это важно

Лучше, чтобы дыру нашёл ты и твой AI, чем чужой человек на проде. Сначала ломаешь сам — потом отдаёшь клиентам. Это и есть ответственность за продукт.

---

Это полезняха из канала **«А че, так можно было?»** → https://telegram.me/rillyOMG
Каждый день делюсь тем, что делаю для себя сам: AI, управление, жизнь. Подписывайся, рекомендуй друзьям.

— Дмитрий Тетервак · tdlife.club