Конкуренты получают копию ваших заявок. И это лечится не за 600 тысяч.

В нишах, где стоимость лида в Я.Директе доходит до 800-1500 ₽ за заявку (фундамент, окна, потолки, юридические услуги, медклиники), все владельцы видят один и тот же симптом. Заявка приходит, и через 5-10 минут клиент жалуется, что «уже звонят какие-то ваши коллеги» с похожим оффером по более низкой цене.

Рынок предлагает «коробочные решения от парсеров» по 250-400-600 тысяч ₽. Внутри обычно один антибот-плагин и переименованный отчёт Я.Метрики. Защиты в этом столько же, сколько в красивой презентации. Ниша, у которой реально течёт, продолжает терять заявки и платить дальше.

Прежде чем чинить, надо понять, какой канал работает у конкретного сайта. На любом сайте в нишах с дорогим лидом встречается один из четырёх сценариев утечки.

• 1. Расширения в браузере клиента. Антивирус-помощник, купонатор, SEO-плагин читают форму до отправки и шлют копию на свой сервер. Самый частый сценарий. Закрывается Content-Security-Policy.
• 2. Парсеры выдачи Директа + автосабмит. Конкурент следит за объявлениями, тянет лендинг, шлёт боты на форму. Никто не перехватывает ваши заявки, идёт скликивание и спам-параллель. Закрывается honeypot, Turnstile, rate-limit и закрытием CORS.
• 3. Слитые подрядчики и сторонние JS. SEO-агентство, бывший маркетолог или фрилансер с доступом к Метрике-вебвизору смотрит запись ввода формы. Или собственный коллтрекинг в open-source режиме сливает номера. Закрывается аудитом доступов и маскированием полей.
• 4. Слив изнутри. Менеджер пересылает заявки конкуренту. Технически тут не защититься, у админа CRM по определению есть доступ к данным. Закрывается юр.слоем: NDA с суммой штрафа, приказ о коммерческой тайне, логи доступа, канарейка-маркер.

Слой 1, сайт. CSP с whitelist на вашу аналитику, SRI на сторонние скрипты, форма только POST с JSON-телом, honeypot, Turnstile, маскирование полей вебвизора. Закрывает каналы 1 и 2.

Слой 2, инфраструктура. CORS строго на свой домен, HMAC-подпись запросов, rate-limit, WAF (Cloudflare/Qrator), антибот-фильтры на стороне Директа. Закрывает канал 2 и часть канала 3.

Слой 3, юр.часть. NDA с менеджерами и подрядчиками, приказ о коммерческой тайне, аудит прав в CRM и Метрике, канарейка-маркер для проверки слива изнутри. Закрывает каналы 3 и 4.

Реальная стоимость защиты в нише с дорогим лидом, без переплаты за «коробочный шильдик».

• Аудит «куда течёт»: 80 000 ₽, 5 рабочих дней. Расширенный сетевой аудит, аудит доступов к Метрике и CRM, канарейка-кампания со спецтелефоном. Отчёт + дорожная карта + видеоразбор.
• Базовая защита: 180 000 ₽, 2 недели. Аудит входит. CSP, SRI, форма POST с HMAC, Turnstile, маскирование вебвизора, чистка тегов, закрытие CORS, rate-limit. Закрывает каналы 1, 2 и 3 на 80%.
• Полное закрытие + подписка — 280 000 ₽ + 18 000 ₽/мес, 3-4 недели. Базовая защита плюс перевыпуск фронта на современный стек, WAF, юр.пакет (NDA + приказ КТ), канарейка-маркер, ежемесячный отчёт.

В сумме за первый год клиент платит ~480-500к ₽ (полное закрытие + 12 месяцев подписки). Это те же деньги, что просят коробочники, только за них клиент получает измеримый результат, юр.слой и ежемесячный отчёт «попыток N, отбито M».

Если у вас сайт старше 3 лет на любом стеке (Битрикс, WordPress, голый PHP, или, как в этом кейсе, Vue со сборкой 2021 года), почти гарантированно нет ни одного современного security-заголовка. Дальше всё предсказуемо: расширения в браузере клиента читают форму, любой сторонний сайт с открытым CORS может слить заявку, а Метрика-вебвизор пишет ввод телефона, доступный всем подрядчикам с правами на чтение.

Хитрая машина у конкурентов — удобный миф для продавцов коробочных решений. На деле сайт открыт просто потому, что его никто не закрывал, и заявки читает любой, у кого в браузере висит лишнее расширение. На закрытие уходит не миллион рублей и не три месяца. Базовый вариант обходится в 180 тысяч и две недели.

У вас сайт в нише с дорогим лидом и подозрение, что заявки утекают?

Бесплатный экспресс-аудит за 30 минут. Пройдусь по 7 пунктам публично и скажу, какой канал утечки наиболее вероятен у вас. Без обязательств, без коробочных оферов.

Все материалы аудита получены публично, без проникновения в системы клиента. Никакие реальные заявки во время аудита не отправлялись. Конкретные ID счётчиков, токены и URL внутренних эндпоинтов в этом кейсе не публикуются, только общая методика и характер найденных проблем. Полный отчёт, как обычно, остаётся между мной и владельцем сайта.