Специалист по аудиту безопасности веб-приложений

Что за роль

Нужен независимый специалист для проверки безопасности веб-приложения на TypeScript и React с PWA-клиентом, сервером на Hono и базой данных PostgreSQL. Объём ограничен несколькими сценариями: вход в аккаунт, приглашения в поездки и удаление аккаунта. Проверка проводится по исходному коду и локально запущенной копии; тестирование production-среды не входит в задачу.

Что предстоит делать

• Проверить сценарии входа через Apple OAuth и Google OAuth, а также авторизацию по magic link.
• Проанализировать логику приглашений в поездки и возможные проблемы контроля доступа.
• Проверить обработку удаления аккаунта и связанные с ней риски для данных и связанных сущностей.
• Изучить код TypeScript/Node.js и клиентскую часть React в рамках согласованного коммита.
• Подготовить письменный отчёт с уровнем серьёзности каждой находки, указанием файла и строки, описанием возможных последствий и рекомендуемым исправлением.

Что потребуется

• Практический опыт аудита безопасности веб-приложений и тестирования на проникновение.
• Знание Node.js, TypeScript и основ безопасности веб-систем.
• Понимание OAuth и типовых рисков реализации аутентификации.
• Опыт работы с PostgreSQL и анализа серверной логики.

Что важно знать

Работа выполняется по договорённости о взаимном NDA: после его подписания предоставят доступ только для чтения к GitHub-репозиторию на конкретном коммите. Код можно клонировать и запускать локально. Изменение функций, вмешательство в production, публикация отчётов и передача кода не входят в объём. Результат нужно предоставить письменно к понедельнику, 16 ноября 2026 года; бюджет в объявлении указан как около 250 USD, а диапазон оплаты — 250–750 USD.