Чек-лист сайта бизнеса на 2026: закон, безопасность, скорость, SEO

Мы регулярно приходим на аудит к клиенту, у которого сайт красивый, быстрый и по всем канонам продающий - а потом выясняется, что нет политики конфиденциальности, cookie-баннер декоративный, а форма обратной связи улетает напрямую в зарубежный сервис. Работа дизайнера и разработчика была отличной. Просто её делали, не заглядывая в чек-лист рядом.

Обратная ситуация встречается не реже: сайт юридически безупречен, но грузится четыре секунды на мобильном и не появляется ни в обычной выдаче, ни в нейроответах. Деньги на разработку потрачены, а трафика нет.

Семь блоков ниже - не теория, а рабочий список, по которому мы сами проверяем сайты клиентов. По каждому пункту - что проверить прямо сейчас и ссылка на подробный разбор, если нужны детали и цифры.

Чек-лист написан под разные типы сайтов: интернет-магазин, сайт услуг, корпоративный портал. Вес блоков у них разный - у магазина тяжелее оферта и локализация клиентской базы, у B2B-сайта критичнее cookie-согласия и корректная аналитика по заявкам. Но структура одна: закон, безопасность, скорость, SEO, доступность, аналитика, AI. Прогонять сайт стоит по всем семи, даже если какой-то блок кажется неактуальным - лучше потратить пять минут на проверку, чем узнать о пробеле от Роскомнадзора или от конкурента, который обогнал вас в выдаче.

1. Закон: 152-ФЗ, cookie, маркировка

Любая форма на сайте делает вас оператором персональных данных - неважно, ИП вы или ООО. Роскомнадзор проверяет сайты автоматизированным сканированием, а не выборочно, поэтому "мы маленькие, до нас не дойдут" в 2026 году не работает.

Минимум для проверки:

• Актуальная политика обработки персональных данных с реальными реквизитами компании
• Чекбокс согласия на каждой форме, без предзаполненной галочки
• Cookie-баннер с равнозначными кнопками "Принять" и "Отказаться"
• Реквизиты продавца и оферта, если есть дистанционная продажа товаров
• Маркировка интернет-рекламы через ОРД с получением erid, если размещаете рекламу за пределами своего домена

Полный разбор норм, статей КоАП и таблица штрафов - в статье про юридические требования к сайту. Отдельно про оборотные штрафы за утечку данных - в материале про штрафы за утечку ПД, а механику ОРД и ЕРИР детально разбираем в статье про маркировку интернет-рекламы.

2. Безопасность: SSL, хостинг, бэкапы

SSL-сертификат в 2026 году - не опция, а условие индексации: без него браузер помечает сайт как небезопасный прямо в адресной строке, и часть посетителей уходит, не долистав до первого экрана.

Что проверяем:

• SSL-сертификат действителен и автоматически продлевается
• Регулярные бэкапы сайта и базы данных с проверкой восстановления, а не просто "настроено и забыто"
• Хостинг и обработка персональных данных физически в России - требование ч. 5 ст. 18 закона 152-ФЗ
• Защита от базового перебора паролей и элементарных DDoS-сценариев
• Обновления CMS и плагинов без критических уязвимостей старше нескольких месяцев

DDoS в 2026 году бьёт по малому бизнесу заметно чаще, чем принято думать - подробности и стоимость защиты в статье про DDoS-атаки на малый бизнес. Требования к локализации данных и выбору хостинга - в материале про хостинг сайта в России. Если планируете обновлять форму входа для клиентов, посмотрите на passkeys вместо паролей - тема набирает обороты именно в 2026 году.

По нашей практике бэкапы - самый недооценённый пункт этого блока. Настраивают их один раз при запуске сайта и забывают проверить, реально ли из них можно восстановиться. Резервная копия, которая не разворачивается, ничем не отличается от её отсутствия.

3. Скорость: Core Web Vitals и INP

С мартовского апдейта Google 2026 года скорость перестала быть косметическим фактором. Метрика INP (Interaction to Next Paint) жёстко отсекает медленные интерфейсы - страница может выглядеть быстрой при загрузке, но тормозить на каждом клике.

Проверка по трём метрикам Core Web Vitals:

• LCP (Largest Contentful Paint) - ниже 2.5 секунды
• INP (Interaction to Next Paint) - ниже 200 миллисекунд
• CLS (Cumulative Layout Shift) - ниже 0.1

Быстрая диагностика: откройте PageSpeed Insights и посмотрите на цвет полей данных, а не только на итоговый балл - лабораторные тесты часто врут в лучшую сторону. Полный набор техник ускорения - сжатие изображений, Critical CSS, lazy loading, CDN - в статье про PageSpeed-оптимизацию. Что именно произошло с INP после мартовского апдейта и почему 43% сайтов его не проходят, разобрано в материале про Google Core Update и INP.

4. SEO: семантика, техника, Schema.org

SEO-блок держится на трёх опорах: техническая база без ошибок индексации, семантическое ядро под реальный интент запросов и структурированные данные Schema.org для расширенных сниппетов.

Базовый набор:

• Robots.txt и sitemap.xml без критических ошибок, все важные страницы открыты для индексации
• Title, description и H1 заполнены под интент, а не скопированы шаблоном
• Schema.org минимум для Organization и Article/Product на профильных страницах
• Локальное SEO настроено, если есть физический адрес или зона обслуживания
• Регулярный технический аудит, а не разовая проверка при запуске

С чего начать техническую диагностику и что именно проверяет полноценный SEO-аудит - в статье про аудит сайта. Полный гайд по технике, контенту и ссылкам - в материале про SEO-оптимизацию сайта. Если сайт ориентирован на конкретный город или регион, посмотрите локальное SEO и Яндекс Карты. А для трезвой оценки бюджета на продвижение - статья про стоимость SEO-продвижения.

Одна из самых частых находок на наших аудитах - раздел каталога или блога, случайно закрытый от индексации в robots.txt ещё на старте проекта. Полгода работы над контентом впустую, потому что одна строчка в конфиге перекрыла доступ поисковому роботу. Проверка этой строки занимает минуту, а последствия её отсутствия - месяцы.

5. Мобильность и доступность (a11y)

Больше половины трафика в большинстве ниш идёт с телефона, и мобильная версия давно не "уменьшенная десктопная", а отдельная точка входа с собственными требованиями к скорости и удобству нажатий.

Доступность (accessibility) - параллельный трек, который часто игнорируют до первой претензии или жалобы:

• Достаточный контраст текста и фона по WCAG 2.2 AA
• Формы и кнопки доступны с клавиатуры, без обязательной мыши
• Alt-тексты у изображений, а не пустые атрибуты для галочки
• Размер тач-зон на мобильном - не меньше 44х44 пикселя

WCAG 2.2, требования ГОСТ Р 52872 и практический чек-лист - в статье про доступность сайта (a11y). Кстати, доступность и SEO пересекаются сильнее, чем кажется: чистая семантическая разметка одновременно помогает скринридерам и поисковым роботам.

6. Аналитика: цели, атрибуция, отчёты

Сайт без настроенной аналитики - это разговор о позициях и трафике вслепую. Метрика должна фиксировать не визиты, а бизнес-события: заявку, звонок, добавление в корзину.

Проверяем:

• Яндекс.Метрика установлена и считает уникальных посетителей без задвоения по субдоменам
• Цели настроены на реальные конверсии - отправку формы, звонок, клик по WhatsApp/Telegram
• Модель атрибуции соответствует текущим требованиям Яндекса, а не унаследована от настройки трёхлетней давности
• Отчёты приходят регулярно и содержат не только позиции, а связку трафик - заявки - продажи

С 21 апреля 2026 года Яндекс отключает старые модели атрибуции, и если у вас настройка не обновлялась - отчёты вводят в заблуждение прямо сейчас. Что именно поменялось и куда переключать модели - в статье про изменения атрибуции в Метрике.

7. AI-готовность и GEO

Последний блок - самый молодой в чек-листе, но уже не факультативный. "Поиск с Алисой" и AI Overviews Google формируют ответ пользователю без перехода на сайт, и если контент не структурирован для извлечения, сайт выпадает из этой части выдачи целиком.

Минимум для проверки:

• Robots.txt не блокирует AI-краулеров (GPTBot, ClaudeBot, YandexGPT) без осознанного решения
• Контент даёт прямой ответ на вопрос в первом абзаце, а не после трёх абзацев вступления
• Структурированные данные Schema.org читаемы для извлечения фактов, а не только для сниппетов
• Экспертные подписи, даты публикации и обновления присутствуют на статьях

По данным "Ашманов и партнёры" за июнь 2026 года, доля сайтов вне топ-10 органической выдачи в ответах Алисы упала с 40% до 10% всего за полгода - шансы попасть в нейроответ без хороших позиций в обычном поиске стремятся к нулю. Если сайт собирали через no-code или AI-конструктор и трафика до сих пор нет, начните с материала почему AI-сайт не находят в поиске. Полная механика GEO-факторов - в статье про GEO и Яндекс Нейро.

Отдельно стоит проверить, не заблокирован ли доступ AI-краулерам случайно, вместе с обычными парсерами и агрессивными ботами. Мы видели такое у клиентов, которые ставили жёсткую защиту от скрейперов после DDoS-атаки и заодно закрыли GPTBot и ClaudeBot - защитились от одной угрозы и создали новую проблему для видимости в AI-поиске.

Как приоритизировать: что чинить первым

Семь блоков редко закрывают одновременно, и это нормально - вопрос в порядке.

Первая линия - то, что грозит штрафом или блокировкой при любой автоматической проверке: закон и безопасность. Штраф по 152-ФЗ или блокировка Роскомнадзором останавливает продажи быстрее, чем недоработанный чек-лист по скорости. Вторая линия - то, без чего новый трафик просто не доходит: скорость и SEO. Третья - то, что определяет качество и удержание уже пришедшей аудитории: доступность и мобильность. И только затем - аналитика и AI-готовность, потому что измерять и оптимизировать под нейровыдачу имеет смысл, когда база уже не разваливается.

Сроки в таблице - по нашей практике для типового сайта услуг среднего объёма; для интернет-магазина с тысячами товарных карточек SEO и скорость займут заметно дольше.

Один нюанс, который упускают чаще всего: блоки не независимы друг от друга. Медленный сайт (блок 3) хуже ранжируется (блок 4), а плохое ранжирование снижает шансы попасть в нейроответ (блок 7). Юридически неоформленный сайт (блок 1) рискует штрафом, который в моменте важнее любой оптимизации скорости. Закрывать чек-лист по одному пункту, игнорируя остальные шесть, - работа вхолостую.

Если хочется пройти все семь блоков не по памяти, а с конкретными цифрами по своему сайту - это ровно то, что входит в наш аудит сайта: список проблем с приоритетом по риску и оценкой, сколько времени займёт каждое исправление.