Работает не значит безопасно.

К концу урока вы сами задаёте любому работающему приложению второй вопрос: «Работает? Да. Безопасно?» Одной командой вы видите лазейки приложения, узнаёте точной цифрой, насколько эта проблема распространена, и одним предложением понимаете, почему два одинаковых на вид приложения на деле разные.

К концу урока вы открываете свою папку в Warp, запускаете в ней Claude Code, узнаёте, какие у Claude есть режимы и как они работают, и разбираетесь в командах через /.

К концу урока вы создаёте в Claude Code своего агента безопасности (в папке .claude/agents/), даёте ему задачу, скилл (готовую инструкцию для агента) и границы, а затем вызываете его по имени.

К концу урока вы знаете, что такое Стандарт 15 контролей, который закрывает 15 лазеек: 15 контролей, которые проверяются перед выпуском приложения. Вы по одной разбираете три категории и объясняете правило «Если с 1 по 11 не пройдено, не выпускай».

Первая категория вживую на приложении чайханы, пять контролей по одному: пароль хранится открытым текстом, вход открыт для бесконечных попыток, открывается чужой чек (IDOR), cookie без защиты, MFA нет. Перед каждым контролем вы делаете предположение, а в конце урока видите промпт, который закрывает каждое место.

Вторая категория вживую на приложении чайханы: поле поиска открывает всю базу (SQLi), комментарий превращается в чужой скрипт (XSS), лишнее поле проходит в запросе, номер карты хранится целиком. Вы узнаёте контроли безопасного хранения и прямо на этом уроке видите промпт, который их закрывает.

Третья категория вживую на приложении чайханы: платёжный ключ лежит в коде (и остаётся в истории git), один endpoint (один адрес запроса в приложении) раздувает ваши расходы без предела (denial of wallet), кто что сделал, нигде не записано. В конце урока вы отмечаете весь чек-лист: пройдено 0 из 15, потому что и работающее приложение может не пройти ни одного контроля.

К концу урока вы говорите, что такое организация OWASP и чем она занимается, одним предложением объясняете, что такое OWASP Top 10 (десять самых серьёзных рисков, предупреждающий документ, а не сертификат), и называете каждый из десяти пунктов списка 2025 года.

К концу урока вы говорите, что такое ASVS (стандарт проверки от OWASP: 17 глав, 345 требований), простыми словами различаете три уровня, умеете читать номер требования и знаете, что имеет в виду пентестер или клиент, говоря ASVS L1.

К концу урока вы говорите, что такое PCI DSS (стандарт карточных сетей, обязательный по договору, 12 требований), знаете три правила требования 3 и объясняете границу между hosted checkout (карта вводится на странице платёжной системы) и карточным API.

К концу урока вы говорите, что такое ЗРУ-547 и какие три обязанности у вас как у оператора (того, кто собирает и хранит данные), знаете изменение от 27 марта 2026 года, размер штрафов и статью 7-1, введённую законом об AI, и можете сказать, когда применяется европейский закон GDPR.

Вы разбираете скиллы, которые понадобятся плагину. Каждый выполняет одну задачу, поэтому они не мешают друг другу.

Вы распределяете шесть скиллов между двумя агентами: белый хакер находит и доказывает, инженер по кибербезопасности проверяет и исправляет. Всё собираете в папку security-плагина и создаёте три команды: /planaudit, /fullaudit, /checklist.

Вы делаете третью часть плагина: скиллом alert-telegram подключаете к приложению оповещения в Telegram. Каждая попытка входа записывается в лог, и если за 15 минут 5 раз введён неверный пароль, в чат приходит сообщение.