Аудит интернет-магазина перед покупкой бизнеса

Готовый интернет-магазин на витрине выглядит идеально: аккуратный дизайн, каталог из тысяч товаров, «стабильный трафик» и «отлаженные бизнес-процессы» в описании лота. Но за красивым фасадом может скрываться пиратская лицензия, ядро 1С-Битрикс, изрезанное правками, накрученная посещаемость и завязанный на одного человека обмен с 1С. Покупка такого актива без проверки — это лотерея, где выигрыш маловероятен, а проигрыш измеряется сотнями тысяч рублей техдолга и падающими сразу после сделки продажами.

Эта статья — практическая методика due diligence (комплексной проверки) интернет-магазина на 1С-Битрикс перед покупкой: что смотреть в коде, лицензии, инфраструктуре, трафике и данных, какие красные флаги нельзя игнорировать и как результаты аудита превратить в аргументы для торга. Материал основан на нашей практике технического аудита интернет-магазинов — в том числе перед сделками купли-продажи бизнеса.

Зачем нужен аудит перед покупкой магазина

Покупка готового интернет-магазина выглядит привлекательнее запуска с нуля: есть каталог, наработанная база клиентов, позиции в поиске и рабочие бизнес-процессы. Но именно эта «готовность» и создаёт иллюзию, что проверять нечего — всё же работает. На практике продавец почти всегда знает о проблемах актива больше покупателя и заинтересован показать бизнес в лучшем свете. Это классическая асимметрия информации, и задача аудита — её выровнять.

Аудит перед покупкой отвечает на три простых вопроса. Первый: что вы на самом деле покупаете — современный поддерживаемый магазин или груду технического долга под слоем свежей краски. Второй: сколько это реально стоит — с учётом затрат на приведение актива в порядок после сделки. Третий: какие риски вы берёте на себя — от просроченной лицензии и утечки персональных данных до претензий по авторским правам на контент и фотографии.

Цена ошибки здесь несимметрична. Стоимость аудита — это фиксированная, заранее известная сумма, обычно составляющая небольшую долю от цены сделки. Стоимость непроверенного риска — величина неопределённая и потенциально огромная: перенос магазина на новую лицензию, переписывание обмена с 1С, восстановление упавшего после отключения накрутки трафика. Именно поэтому серьёзный покупатель никогда не пропускает этот этап, даже если продавец торопит со сделкой и уверяет, что «там всё чисто».

Четыре направления due diligence

Чтобы аудит не превратился в хаотичное «полазить по сайту», его удобно разложить на четыре независимых направления. Каждое отвечает за свой класс рисков, и провал по любому из них может обесценить всю сделку.

• Техническое. Платформа и лицензия, качество кода, правки в ядре, самописные модули, обмен с 1С, производительность и нагрузка.
• Инфраструктурное. Хостинг, серверные ресурсы, бэкапы, домен и его история, SSL, почта, сторонние сервисы и их подписки.
• Коммерческое. Источники и качество трафика, конверсия, юнит-экономика, база клиентов, рекламные кабинеты, зависимость от одного канала.
• Юридическое. Права на домен и контент, обработка персональных данных, договоры с подрядчиками, лицензионная чистота используемого софта и фотографий.

Важно, что эти направления связаны. Например, завязка обмена с 1С на одного подрядчика — это одновременно технический риск (некому чинить), коммерческий (остановка обмена = остановка продаж) и юридический (нет договора и передаваемых прав на код). Хороший аудит смотрит на актив целиком, а не проверяет пункты изолированно.

Лицензия и редакция 1С-Битрикс

Первое, с чего начинается технический аудит магазина на 1С-Битрикс, — лицензия. Это фундамент, без которого остальные проверки бессмысленны: нелицензионная платформа обнуляет ценность актива и создаёт прямые юридические риски для нового владельца.

Проверьте три вещи. Редакцию — интернет-магазин требует как минимум «Малый бизнес», в «Старте» модуля «Интернет-магазин» нет, и если витрина работает на «Старте», значит используется что-то нештатное. Активность обновлений — в разделе «Настройки → Обновление платформы» видна дата окончания периода бесплатных обновлений; если она истекла годы назад, магазин не получал ни патчей безопасности, ни исправлений, и продление лицензии ляжет на покупателя. Легальность ключа — «нулёвки» (пиратские сборки с обнулённым лицензионным ключом) внешне не отличаются от лицензии, но не обновляются, содержат уязвимости и юридически недопустимы.

Отдельный и часто упускаемый вопрос — переносимость лицензии. Лицензия 1С-Битрикс приобретается на конкретное юридическое или физическое лицо и не переходит к новому владельцу автоматически вместе с сайтом. При смене собственника бизнеса лицензию нужно переоформлять через партнёра или покупать заново. Обязательно уточните этот момент до сделки и заложите стоимость лицензии в расчёт, если она не передаётся.

Аудит кода: ядро, правки и самопис

Главная скрытая ценность (или скрытая проблема) магазина на 1С-Битрикс — состояние его кода. Внешне два магазина могут выглядеть одинаково, но один построен на штатных компонентах и обновляется в один клик, а другой держится на костылях, которые слетят при первом же апдейте.

Ключевых зон проверки несколько.

• Правки в ядре. Любые изменения в /bitrix/modules — это мина. При обновлении платформы эти файлы перезаписываются, и правки исчезают, ломая функциональность. Штатный путь — переопределение через /local, события и свои компоненты. Наличие правок прямо в ядре означает, что магазин либо нельзя безопасно обновлять, либо каждое обновление превращается в спецоперацию.
• Кастомные компоненты и модули. Оцените, есть ли документация, читаемый ли код, соблюдены ли соглашения платформы. Самописный модуль без документации — это чёрный ящик, поддержка которого будет стоить дорого.
• Шаблоны компонентов. Проверьте, вынесены ли кастомизации в шаблоны сайта и компонентов через /local/templates, или же правки размазаны по стандартным шаблонам в /bitrix.
• Версия и обновляемость. Насколько платформа и решение отстали от актуальных версий модулей и как болезненно будет догонять.

Отдельно оцените зависимость от прежнего разработчика. Если весь нестандартный функционал — обмен, интеграции, кастомная логика корзины — написан одним человеком без документации и передаваемых прав, вы покупаете не самостоятельный актив, а привязку к конкретному подрядчику. После сделки он может оказаться недоступен, а разбираться в чужом коде с нуля дорого и долго. Глубокую методику разбора качества кода мы разбираем в материале про безопасность магазина по OWASP — многие критерии там пересекаются с аудитом перед покупкой.

Инфраструктура, хостинг и бэкапы

Код не живёт в вакууме — он крутится на конкретном сервере, с конкретными ресурсами и бэкапами. Инфраструктурный слой аудита показывает, насколько устойчив магазин к нагрузке и не потеряете ли вы данные при первом же сбое.

Проверьте состав окружения: тип хостинга (шаред, VPS, выделенный сервер, облако), версии PHP и СУБД, объём и запас ресурсов. Магазин на 1С-Битрикс требователен к железу, и если он уже упирается в лимиты на текущем трафике, любой рост нагрузки положит сайт. Отдельно посмотрите, включён ли композитный кэш и модуль «Проактивная защита», настроен ли CDN для статики.

Критически важный пункт — резервное копирование. Задайте прямые вопросы: делаются ли бэкапы, как часто, где хранятся копии (на том же сервере или отдельно), когда последний раз проверяли восстановление. Магазин без работающих бэкапов — это актив, который можно потерять целиком за один инцидент, и после сделки эта проблема станет вашей.

1. Запросите доступ к панели хостинга. Оцените реальные ресурсы, нагрузку и запас по CPU, памяти и диску.
2. Проверьте версии окружения. Устаревшие PHP и СУБД без поддержки — это и риск безопасности, и предстоящие расходы на миграцию.
3. Убедитесь в наличии бэкапов. Попросите показать последнюю резервную копию и, по возможности, тестовое восстановление.
4. Проверьте историю домена. Возраст, санкции поисковиков, чистоту истории через сервисы и архивы веба.
5. Соберите список сторонних сервисов. Платёжные шлюзы, службы доставки, SMS, email, аналитика — их подписки и доступы должны передаваться вместе с бизнесом.

Обмен с 1С и интеграции

Для интернет-магазина обмен с 1С — это кровеносная система: товары, цены, остатки, заказы и статусы ходят между учётной системой и сайтом. Если обмен ломается, магазин продолжает принимать заказы на несуществующие товары, а склад расходится с витриной. Поэтому качество и прозрачность интеграции с 1С — одна из важнейших зон аудита.

Разберитесь, как именно устроен обмен: используется штатный протокол CommerceML и типовое решение или это самописная интеграция через API и промежуточные сервисы. Штатный обмен предсказуем и поддерживается многими подрядчиками; кастомная интеграция может работать отлично, но требует, чтобы к ней прилагались документация и передаваемые права на код. Уточните, кто настраивал обмен, есть ли к нему доступ и договор, и не завязан ли он на инфраструктуру прежнего владельца, которая после сделки отключится.

Не забудьте про остальные интеграции: платёжные системы, службы доставки, CRM, системы аналитики, коллтрекинг. По каждой проверьте, на чей аккаунт она оформлена и передаётся ли доступ. Частая проблема — эквайринг и рекламные кабинеты, привязанные к юрлицу или личному кабинету продавца: после сделки они не переходят покупателю автоматически, и приём платежей приходится настраивать заново. Смежные вопросы производительности и SEO-состояния каталога стоит проверять параллельно — см. наш разбор технического SEO-аудита магазина на Битрикс.

Трафик: как отличить реальный от накрученного

Трафик — самая манипулируемая метрика при продаже магазина. Красивые графики посещаемости легко нарисовать накруткой, поэтому цифры из презентации продавца нужно перепроверять по независимым источникам и, главное, сопоставлять с продажами.

Базовый принцип: не верьте одному счётчику. Сверяйте данные Яндекс Метрики, Google Analytics, логов веб-сервера и рекламных кабинетов между собой. Расхождения в разы — повод копать глубже. Ещё надёжнее — смотреть не на посещаемость саму по себе, а на воронку «источник трафика → визит → заказ → выручка». Реальный трафик конвертируется в деньги; накрутка даёт визиты, но не заказы.

Тревожные признаки накрученного или некачественного трафика:

• Всплески визитов без роста заказов. Трафик вырос вдвое, а выручка стоит на месте — классический признак накрутки для завышения цены.
• Аномально низкое время на сайте и отказы под 90%. Живые покупатели так себя не ведут.
• Подозрительная география и устройства. Массовый трафик из регионов, где нет доставки, или с однотипных устройств.
• Резкая просадка перед продажей. Если органика падает последние месяцы, возможно, магазин попал под фильтр или потерял позиции — и это скрывают.
• Зависимость от одного канала. 90% трафика с одной платной кампании означает, что после её отключения магазин обнулится.

Отдельно оцените устойчивость источников. Органический поисковый трафик — актив, который остаётся с магазином. Платный трафик исчезает вместе с бюджетом, а «серые» источники (накрутка, кликбейт, дорвеи) не только не приносят продаж, но и грозят санкциями поисковиков уже под новым владельцем.

Коммерческие метрики и юнит-экономика

Технически исправный магазин с честным трафиком всё ещё может быть плохой покупкой, если экономика не сходится. Коммерческая часть due diligence отвечает на вопрос: зарабатывает ли бизнес и за счёт чего.

Соберите и проверьте ключевые показатели за последние 12–24 месяца: выручку и её динамику, средний чек, конверсию, маржинальность, стоимость привлечения клиента (CAC) и повторные продажи. Просите первичные данные — выгрузки из CRM, кабинетов рекламы и эквайринга, — а не сведённые продавцом презентации. Цифры должны биться между собой: выручка из отчёта сходиться с поступлениями по эквайрингу, число заказов — с данными CRM и складского учёта.

Не менее важно оценить, за счёт чего держится конверсия. Если продажи вытянуты агрессивными скидками или дорогим трафиком, а сама витрина неудобна, после сделки экономика поплывёт. Быстро понять состояние интерфейса помогает юзабилити-аудит магазина на Битрикс — он показывает, есть ли у актива запас роста конверсии или она уже на пределе.

Отдельного внимания заслуживает клиентская база. Уточните её размер, активность и — что важно — законность передачи. База, собранная без согласий на обработку персональных данных, юридически токсична: после сделки ответственность за неё ложится на нового владельца. Красивая цифра «50 000 клиентов в базе» без правовой основы — это не актив, а риск.

Данные, персданные и юридические риски

Юридический слой аудита часто недооценивают, а зря — именно здесь прячутся риски, которые невозможно «дописать кодом» после сделки. Разберём ключевые.

Права на домен. Домен — это то, на чём держится весь бизнес. Убедитесь, что он оформлен на продавца (а не на бывшего подрядчика или сотрудника), что передача прописана в договоре сделки и что домен не в залоге и без обременений. Потеря домена после покупки обнуляет и трафик, и бренд.

Персональные данные. Магазин хранит данные покупателей, и обработка персональных данных регулируется законом. Проверьте, есть ли на сайте политика обработки ПДн, собираются ли согласия при оформлении заказа и подписке, где физически хранятся данные (требование о локализации на серверах в РФ), уведомлён ли о деятельности регулятор. Нарушения здесь грозят штрафами уже новому владельцу.

Права на контент. Фотографии товаров, тексты, дизайн — всё это объекты авторского права. Если карточки заполнены чужими фото из интернета или скопированными описаниями, покупатель наследует риск претензий правообладателей. Уточните происхождение контента и наличие прав на него.

Договоры и обязательства. Проверьте действующие договоры с подрядчиками, поставщиками, сервисами — не содержат ли они условий, которые прекращаются или меняются при смене собственника, нет ли незакрытых обязательств и споров.

Безопасность и уязвимости

Магазин, который несколько лет не обновлялся и оброс правками, почти наверняка содержит уязвимости. Для покупателя это двойной риск: можно унаследовать уже скомпрометированный сайт с закладками злоумышленников или получить дыру, через которую утекут данные клиентов после сделки.

В рамках аудита проверьте базовый уровень защищённости:

• Актуальность обновлений. Установлены ли патчи безопасности платформы и модулей, нет ли известных незакрытых уязвимостей.
• Модуль «Проактивная защита». Включён ли веб-антивирус, брандмауэр приложения, настроены ли уровни защиты.
• Права доступа. Сколько администраторов, нет ли забытых учёток, лежат ли где-то в коде «зашитые» пароли и ключи API.
• Следы взлома. Подозрительные файлы, изменённые системные скрипты, посторонний код в шаблонах и на страницах.
• HTTPS и заголовки. Валидный SSL, безопасные заголовки, отсутствие смешанного контента.

Полноценная проверка безопасности — отдельная большая тема; методику по стандарту OWASP применительно к магазину на Битрикс мы подробно разбираем в отдельной статье. Перед покупкой как минимум убедитесь, что сайт не заражён и не помечен поисковиками как опасный, — это быстрый, но критичный чек.

Что проверить в админке 1С-Битрикс

Если продавец дал доступ в административную панель, значительную часть технического аудита можно сделать прямо там, не привлекая разработчиков к первичной оценке. Вот маршрут по ключевым разделам админки, который быстро отсеивает проблемные активы.

1. Настройки → Обновление платформы. Смотрим редакцию, лицензионный ключ, дату окончания обновлений и список установленных модулей. Здесь сразу видно «нулёвку» и просроченную лицензию.
2. Marketplace → установленные решения. Проверяем купленные модули: легальны ли, обновляются ли, не брошены ли разработчиком.
3. Настройки → Проактивная защита. Оцениваем уровень безопасности, включённость веб-антивируса и журнала вторжений.
4. Магазин → Настройки → Обмен с 1С. Смотрим тип обмена, расписание, логи и ошибки последних сессий синхронизации.
5. Настройки → Инструменты → Проверка системы. Штатный тест окружения показывает соответствие требованиям и узкие места конфигурации.
6. Пользователи → Администраторы. Сколько учёток с полными правами, нет ли забытых или чужих аккаунтов.

Схематично раздел обновления платформы, по которому проверяют лицензию, выглядит так:

Как риски влияют на цену сделки

Аудит — это не только «купить или не купить». Его главная практическая ценность в том, что каждый найденный риск можно оцифровать и превратить в аргумент для торга. Продавец называет цену за идеальный актив; ваша задача — показать, во сколько обойдётся привести реальный актив к этому идеалу.

Механика простая: по каждой находке оцените стоимость и срок устранения, а сумму вычтите из цены или заложите как условие сделки. Просроченная лицензия — минус стоимость продления. Правки в ядре — минус бюджет на рефакторинг и перенос в /local. Завязка на подрядчика — минус стоимость передачи и документирования кода. Юридические дыры с ПДн — минус затраты на приведение в соответствие. Всё это складывается в понятную сумму «стоимости доведения до нормы».

Иногда итог аудита — не торг, а отказ от сделки. Если совпадает несколько критических рисков — пиратская лицензия, накрученный трафик и токсичная база ПДн, — стоимость доведения актива до нормы превышает выгоду от покупки, и дешевле построить магазин заново. Это тоже результат: аудит уберёг вас от плохой инвестиции.

Частые ошибки покупателя

• Верят отчёту продавца и не заказывают независимую проверку — асимметрия информации остаётся, риски всплывают после сделки.
• Смотрят только на витрину и дизайн, игнорируя код, лицензию и обмен с 1С — покупают красивую обёртку с техдолгом внутри.
• Оценивают трафик по одному счётчику и не сверяют его с продажами — принимают накрутку за реальную аудиторию.
• Забывают про переносимость лицензии 1С-Битрикс и приёма платежей — после сделки магазин не может ни обновляться, ни принимать оплату.
• Не проверяют бэкапы и историю домена — рискуют потерять весь актив при первом сбое или из-за санкций поисковика.
• Пропускают юридический слой: права на домен, контент и обработку персональных данных — наследуют штрафы и претензии.
• Торопятся под давлением продавца «есть другой покупатель» — пропускают due diligence и переплачивают за проблемный бизнес.
• Не оцифровывают найденные риски и не используют их в торге — теряют законный рычаг снижения цены.

Чек-лист аудита перед покупкой

Сведём методику в практический список, по которому удобно принимать решение о сделке:

1. Лицензия проверена. Редакция подходит под интернет-магазин, обновления активны, ключ легальный, переносимость на нового владельца уточнена.
2. Код оценён. Нет правок в ядре, кастом вынесен в /local, самопис документирован, зависимость от одного разработчика ясна.
3. Инфраструктура и бэкапы. Ресурсы с запасом, актуальные версии окружения, работающие и проверенные резервные копии.
4. Обмен с 1С и интеграции. Понятен тип обмена, есть доступы, документация и права; платёжные и рекламные аккаунты передаются.
5. Трафик подтверждён. Данные сверены по нескольким источникам, бьются с продажами, нет признаков накрутки и опасной зависимости от одного канала.
6. Коммерция сходится. Выручка, маржа, CAC и повторные продажи подтверждены первичными данными за 12–24 месяца.
7. Юридика чиста. Права на домен и контент, политика и согласия по ПДн, договоры без токсичных условий при смене собственника.
8. Безопасность в норме. Сайт не заражён, обновления установлены, «Проактивная защита» включена, лишних админ-доступов нет.
9. Риски оцифрованы. Каждая находка переведена в стоимость и срок устранения и учтена в цене или условиях сделки.

Вывод

Покупка готового магазина на 1С-Битрикс может быть отличной инвестицией, а может обернуться дорогим уроком — разница почти всегда в том, был ли аудит. Проверьте четыре направления: код и платформу, инфраструктуру, коммерцию и юридику. Не верьте отчётам продавца, сверяйте трафик с продажами, требуйте доступы и документацию по обмену с 1С, проверяйте лицензию и её переносимость. Каждый найденный риск оцифруйте и используйте как рычаг в торге. Тогда вы будете точно знать, что покупаете и сколько это стоит на самом деле, — и купите актив, а не чужие проблемы.