ООО «Кирпичный барсук»

Согласие на обработку персональных данных, принятие соглашения и согласие на рассылки объединены в одну фразу. Галочка уже стоит.

Такое согласие не считается отдельным и данным свободно. При проверке это нарушение закона о персональных данных.

Норма152-ФЗ, ст. 9

Сделать согласие на обработку данных отдельным документом и отдельной галочкой, не отмеченной заранее, со ссылкой на текст согласия.

Без общей галочки, в которую входят рассылки, регистрация не проходит.

Рекламные письма без отдельного согласия — нарушение закона о рекламе.

Норма38-ФЗ, ст. 18

Вынести согласие на рассылки в отдельную необязательную галочку. Регистрация должна проходить без неё.

На регистрации ссылки на политику обработки данных нет, в подвале кабинета ссылка ведёт на файл политики 2019 года с прежними реквизитами.

Политика должна быть опубликована и актуальна. Устаревший документ не описывает, как данные обрабатываются сейчас.

Норма152-ФЗ, ст. 18.1

Обновить политику и поставить ссылку на неё на регистрации, входе и в подвале кабинета.

В профиле нет ни кнопки удаления, ни инструкции, куда написать, чтобы отозвать согласие.

Пользователь вправе отозвать согласие. Если способ не описан, его обращение может потеряться.

Норма152-ФЗ, ст. 9 и 21

Добавить в профиль пункт «Удалить аккаунт или отозвать согласие» с формой запроса и сроком ответа.

Под формой входа есть кнопки «Google» и «Apple».

Для российских сайтов вход через зарубежные сервисы запрещён.

Норма149-ФЗ, ст. 10

Убрать вход через Google и Apple. Оставить телефон или почту, при желании добавить VK ID или Яндекс ID.

В коде кабинета подключены Google Analytics и зарубежный онлайн-чат. Уведомления о передаче данных за рубеж нет.

Передача данных за рубеж без уведомления — нарушение закона о персональных данных.

Норма152-ФЗ, ст. 12

Убрать Google Analytics (кабинет и так считает Яндекс Метрика), заменить чат на российский. Если оставлять — подать уведомление о трансграничной передаче.

Счета, УПД и акты сверки лежат в кабинете, но не сказано, подписаны ли они электронной подписью и какой. Условия об электронном документообороте в оферте нет.

Возможно, при споре придётся доказывать юридическую силу документов из кабинета.

Норма63-ФЗ, ст. 6

Указать способ подписи (простая или усиленная квалифицированная) и добавить в оферту условие об ЭДО.

Под первым тестовым аккаунтом мы заменили номер заказа в адресе на соседний и увидели счёт второго тестового аккаунта: реквизиты, позиции, сумму и адрес доставки.

Любой клиент может перебором номеров увидеть заказы и цены других клиентов. Это утечка данных и коммерческой тайны.

Норма152-ФЗ, ст. 18.1 и 19

На сервере проверять, что заказ и документ принадлежат компании вошедшего пользователя. Проверить также все адреса с номерами.

Ссылка на PDF счёта открывается в другом браузере без входа и не перестаёт работать со временем.

Пересланная или попавшая в почту ссылка даёт доступ к документу кому угодно.

Отдавать файлы только после входа или по временной ссылке, которая действует несколько минут.

После смены пароля на первом устройстве второе устройство продолжает работать в кабинете без повторного входа. Кнопки «Выйти со всех устройств» нет.

Если пароль утёк, его смена не закрывает доступ тому, кто уже вошёл.

Закрывать все остальные сессии при смене пароля и добавить кнопку «Выйти на всех устройствах».

Cookie сессии выставляется без HttpOnly и SameSite. В robots.txt перечислены /admin/ и /lk/export/.

Сессию проще перехватить, а список скрытых разделов подсказывает, куда смотреть.

Добавить флаги Secure, HttpOnly, SameSite, базовые заголовки безопасности; убрать служебные пути из robots.txt и закрыть их авторизацией.

Список подгружает все заказы за всё время одним запросом, на телефоне экран пустой примерно 6 секунд.

Возможно, часть клиентов не дожидается загрузки и звонит менеджеру.

Грузить заказы страницами по 20–50 штук, показывать скелетон во время загрузки.

В трёх из десяти проверенных позиций остаток в кабинете отличался от данных, которые заказчик выгрузил из 1С в тот же час. При недоступности обмена кабинет показывает остаток «0».

Клиент может заказать то, чего нет, или не заказать то, что есть.

Сократить интервал обмена с 1С, при сбое показывать время последнего обновления вместо нулей.

При быстром двойном нажатии на кнопку отправки в тестовом аккаунте появилось два одинаковых заказа.

Дубли заказов приводят к лишним отгрузкам и ручной работе менеджеров.

Блокировать кнопку после первого нажатия и проверять на сервере повторный запрос (ключ идемпотентности).

Статус заказа — 2 клика, но счёт — 5, акт сверки — 7, повтор прошлого заказа — 9.

Возможно, часть клиентов за документами пишет менеджеру, а не идёт в кабинет.

Вынести на главную кабинета быстрые действия: «Скачать счёт», «Акт сверки», «Повторить заказ».

Кнопка «Повторить» есть только на телефоне и ведёт в пустую форму. Загрузить список позиций из Excel нельзя.

Оптовые клиенты, возможно, собирают крупные заказы по телефону, а не в кабинете.

Повтор заказа одним нажатием с проверкой остатков и загрузка заказа из Excel по шаблону.

Рабочий стол показывает таблицу последних заказов и баннер акции. Главного действия, долга и ближайших отгрузок нет.

Возможно, новый клиент не поймёт, зачем ему кабинет.

Сделать главную кабинета: долг и лимит, ближайшие отгрузки, кнопка «Новый заказ», короткая подсказка при первом входе.

Статус — точка зелёного, жёлтого или красного цвета без подписи.

Возможно, клиент не различит статусы, особенно при нарушениях цветового зрения.

Подписать статус словами («Собирается», «Отгружен», «Ждёт оплаты») и оставить цвет как дополнение.

В одной таблице встречаются 12.10.26, 2026-10-09 и 07.10.2026; суммы с копейками, с «р.» и без.

Таблицу труднее читать и сверять с документами.

Единый формат: 12.10.2026 и 184 300,00 ₽ на всех экранах.

Пункты «Новости», «Акции», «Настройки» стоят наравне с «Заказами» и «Документами». Открытый раздел не выделен.

Нужное приходится искать глазами.

Оставить 6–7 главных пунктов, остальное убрать в профиль, подсвечивать текущий раздел.

Таблица из шести колонок шире экрана, страница прокручивается вбок, названия товаров обрезаны.

На телефоне статус и сумму, возможно, удаётся найти не с первого раза.

На телефоне показывать заказы карточками: номер, статус словами, сумма, дата, кнопка.

Плашка cookie внизу и кнопка чата поверх неё закрывают кнопку «Повторить».

Возможно, часть клиентов не увидит кнопку.

Сделать плашку компактной и запоминать выбор, кнопку чата сдвинуть и уменьшить на телефоне.

Без документов раздел показывает серую надпись «Нет данных», без объяснения и кнопки.

Возможно, новый клиент решит, что кабинет не работает.

Показывать, когда здесь появятся документы, и кнопку следующего шага: «Сделать первый заказ».

После ошибки на сервере форма очищается, 14 введённых позиций пропадают, сообщение показано сверху без привязки к полю.

Клиенту приходится вводить заказ заново; возможно, часть заказов уходит в звонки.

Сохранять черновик заказа, показывать ошибку у поля, не очищать форму.

Кнопка отправки заказа и кнопки скачивания документов подписаны «Ок».

Не ясно, что произойдёт после нажатия.

Писать действие: «Отправить заказ на 184 300 ₽», «Скачать PDF».

Нажатие на корзину сразу удаляет черновик, отменить нельзя.

Случайное нажатие стирает собранный заказ.

Спрашивать подтверждение и давать отменить удаление в течение нескольких секунд.

Через 20 минут бездействия кабинет без предупреждения переводит на вход, введённое в форме пропадает, после входа открывается рабочий стол.

Длинный оптовый заказ, возможно, теряется на середине.

Предупреждать за 2 минуты до окончания, продлевать сессию по кнопке, после входа возвращать на тот же экран с черновиком.

Из карточки заказа браузерная кнопка «Назад» ведёт на страницу входа. Хлебных крошек нет.

Приходится заново входить и искать список.

Добавить хлебные крошки и корректную историю переходов внутри кабинета.

В списке более 300 тестовых заказов, есть только сортировка по дате.

Найти старый заказ, возможно, проще через менеджера.

Поиск по номеру и товару, фильтры по статусу и периоду.

На мобильной версии сайта ссылки «Личный кабинет» нет в шапке и меню, только в подвале.

Возможно, часть клиентов не находит вход с телефона.

Добавить «Войти» в шапку сайта на всех экранах.

Вход только по паролю. При восстановлении после отправки письма не видно, через сколько можно запросить его снова.

Клиенты, возможно, забывают пароль и звонят менеджеру.

Добавить вход по коду из SMS или почты и таймер повторной отправки.

Переключение между компаниями спрятано в профиле, в шапке выбранная компания не показана.

Заказ могут оформить не на то юрлицо.

Показывать выбранную компанию в шапке и переключать её там же.

Кнопка «Оформить заказ» видна, но после нажатия показывает «Доступ запрещён».

Сотрудник клиента не понимает, что ему недоступно и почему.

Скрывать недоступные действия или подписывать, к кому обратиться за доступом.

Цвета, шрифты и кнопки кабинета не совпадают с сайтом компании, в шапке нет логотипа.

Возможно, часть клиентов сомневается, что это кабинет той же компании.

Привести шапку, цвета, шрифт и кнопки к стилю сайта, добавить логотип.

В списке документов только название и длинная ссылка на файл.

Нужный счёт приходится открывать по очереди.

Показывать в списке дату, сумму, статус оплаты и кнопку «Скачать PDF».

По запросу site: находятся страницы /lk/orders/… с заголовками «Заказ БР-10482». Страницы отвечают кодом 200 и есть в sitemap.xml.

В выдачу могут попасть номера и названия заказов клиентов.

Отдавать 401/403 без входа, поставить noindex, убрать кабинет из sitemap, удалить страницы из поиска через Вебмастер.

Ссылка из письма-приглашения содержит логин и токен входа в адресе. Такие адреса записываются в Метрику.

Токен может оказаться у тех, у кого есть доступ к статистике или к истории браузера.

Передавать токен одноразово и убирать его из адреса сразу после входа; исключить параметры из Метрики.

Страница входа открывается по нескольким адресам с параметрами, title «Login», нет фавикона. После входа всегда открывается рабочий стол, а не ссылка из письма.

Клиент, возможно, теряет нужный экран после входа.

Одна страница входа с понятным title и фавиконом, возврат на исходный экран после входа.

Вебвизор включён на всех страницах кабинета, поля ИНН, телефона и адреса не скрыты.

В записях сессий остаются персональные данные клиентов.

Скрыть поля от записи или отключить Вебвизор в кабинете.

Не заведены цели на вход, регистрацию и отправку заказа.

Не видно, сколько заказов приходит через кабинет.

Завести цели на вход, регистрацию, заказ и скачивание счёта.

Инструкции «Как сделать заказ» и «Как получить доступ» открываются только после входа.

Тот, кто ещё не получил доступ, не найдёт ответ в поиске.

Вынести справку на открытые страницы сайта.

Статусы «В резерве КП», «Ожид. ПП», «Отгр. частично» и раздел «КП и резервы».

Возможно, клиент не поймёт, что ему нужно сделать.

Переписать: «Товар отложен для вас», «Ждём оплату», «Отгружена часть заказа».

В пустом разделе только «Нет данных».

Возможно, новый клиент решит, что что-то сломалось.

Текст: «Здесь появятся счета и акты после первого заказа» и кнопка «Сделать заказ».

При сбое показано «Ошибка 0x17. Обратитесь к администратору».

Клиент не знает, что произошло и сохранился ли заказ.

Писать по-человечески: что произошло, сохранено ли введённое, что сделать и как связаться.

Первый вход ничем не отличается от сотого.

Возможно, новый клиент не узнает о повторе заказа и актах сверки.

Короткое приветствие и 3 подсказки по главным действиям.

Письмо из трёх строк: логин, пароль открытым текстом и ссылка с токеном. Не сказано, зачем кабинет и что в нём есть.

Пароль в письме — риск для безопасности. Возможно, часть клиентов не открывает кабинет, не понимая, зачем он.

Не присылать пароль: ссылка на установку пароля. Объяснить пользу: заказы, документы, акт сверки в два клика.

В рекламных письмах нет ссылки отписки, в кабинете нельзя настроить уведомления.

Без отписки рассылка нарушает правила, и письма чаще попадают в спам.

Добавить работающую отписку и страницу настроек уведомлений.

Связь только через онлайн-чат, менеджер не указан, срок ответа не назван, MAX и Telegram не предложены.

Возможно, клиенты продолжают звонить на общий номер.

Показывать в кабинете своего менеджера, каналы связи и срок ответа.

На рабочем столе баннер «Летняя акция… до 31.08.2026».

Устаревшая информация снижает доверие к ценам в кабинете.

Убрать баннер и снимать акции автоматически по дате окончания.