Разработка веб-сервисов, порталов и личных кабинетов

Стоимость сервиса определяет не количество экранов, а сложность логики: сколько ролей, какие сценарии между ними, откуда берутся данные и что происходит, когда что-то идёт не так.

Главные факторы:

• Роли и права. Клиент, исполнитель, менеджер, администратор — каждая новая роль заметно увеличивает число сценариев, которые нужно спроектировать и протестировать.
• Деньги. Разовые оплаты просты; подписки, возвраты, распределение платежей между участниками маркетплейса и счета для юрлиц — гораздо сложнее.
• Интеграции. Каждая внешняя система — CRM, учёт, платёжный провайдер, служба доставки, госреестры — имеет свои ограничения и ошибки, которые нужно обработать.
• Данные в реальном времени. Чаты, живые статусы, совместное редактирование требуют другой архитектуры, чем обычные запросы.
• Нагрузка и надёжность. Сто пользователей и сто тысяч — это разные требования к инфраструктуре, тестированию и мониторингу.

Как мы фиксируем цену. После discovery вы получаете описание сценариев и оценку, а цена и срок этапа фиксируются в договоре. Если по ходу разработки появляются новые идеи — а они появляются всегда, — мы оцениваем их отдельно, и вы решаете: добавить сейчас со сдвигом срока или перенести в следующий этап. Так бюджет не разрастается незаметно.

Что заложить после запуска: облачную инфраструктуру (стоимость зависит от нагрузки), сторонние сервисы (SMS, рассылки, карты) и развитие продукта. Для поддержки и небольших доработок подходит тариф Care Max за 5 900 ₴/мес — 12 часов работ и SLA 4 часа.

Для веб-сервиса выбор стека — решение на годы. Мы выбираем технологии по трём критериям: надёжность, скорость разработки и возможность легко найти разработчиков, если позже вы захотите продолжить работу своей командой.

Типовой стек:

• TypeScript — на фронтенде и бэкенде. Строгая типизация ловит заметную часть ошибок ещё до запуска и делает код понятным для новых разработчиков.
• React и Next.js — для интерфейса: быстрые страницы, серверный рендеринг там, где важно SEO, и богатая экосистема готовых компонентов.
• Node.js — для серверной логики и API.
• PostgreSQL — надёжная реляционная база данных для большинства бизнес-задач: транзакции, сложные отчёты, целостность данных.
• REST или GraphQL API — чтобы к сервису можно было подключить мобильное приложение, партнёров или внутренние системы.
• Облачная инфраструктура с автоматическим развёртыванием, резервными копиями и мониторингом ошибок.

Почему не no-code? No-code-платформы отлично подходят для совсем раннего прототипа или внутреннего инструмента на несколько человек. Но с ростом они упираются в лимиты: оплата за каждого пользователя, ограничения логики, сложности с переносом данных. Если у вас уже есть прототип на no-code, он станет хорошим техническим заданием для полноценного продукта.

Почему не «уникальный фреймворк студии»? Потому что вы должны зависеть от продукта, а не от подрядчика. Мы работаем с распространёнными технологиями с большими сообществами — любая квалифицированная команда сможет продолжить разработку, имея доступ к репозиторию и документации.

Собственная технология разработки у нас — это не закрытый фреймворк, а библиотека проверенных модулей (авторизация, роли, админка, платежи, уведомления) и автоматические проверки качества. Именно они позволяют запускать MVP за 14–21 день, а не за несколько месяцев.

Веб-сервис хранит данные пользователей — контакты, документы, платежи, историю действий. Утечка или потеря этих данных может обойтись дороже всей разработки, поэтому безопасность мы закладываем в архитектуру, а не добавляем в конце.

Что входит в базовый уровень:

• Авторизация по современным практикам: надёжное хеширование паролей, одноразовые коды, ограничение попыток входа, безопасные сессии.
• Разграничение прав: каждая роль видит и меняет только то, что ей разрешено, — с проверкой на сервере, а не только в интерфейсе.
• Защита от типовых атак (ориентир — OWASP Top 10): SQL-инъекции, XSS, CSRF, небезопасные прямые ссылки на объекты.
• Журнал действий: кто, что и когда изменил — важно для B2B-порталов и внутренних систем.
• Шифрование данных при передаче (HTTPS) и чувствительных полей в базе.
• Резервные копии с регулярной проверкой восстановления: бэкап, который никто ни разу не восстанавливал, — это просто надежда.
• Обновление зависимостей и отслеживание известных уязвимостей в библиотеках.

Персональные данные. В Украине действует Закон «О защите персональных данных»: пользователь должен знать, какие данные вы собираете и зачем, и давать согласие на их обработку. Если среди пользователей есть жители ЕС, добавляются требования GDPR — в частности, право на удаление и получение копии своих данных. Мы проектируем согласия, политику конфиденциальности и функции экспорта и удаления данных с учётом этих требований, а юридическую проверку документов советуем поручить юристу.

Платежи. Данные карт не хранятся на вашем сервере: оплата проходит на стороне сертифицированного платёжного провайдера, а сервис получает только статус транзакции.

Подробнее о защите сайтов и сервисов — в статье безопасность сайта.

Проекты, которые выходят за бюджет или так и не запускаются, чаще всего спотыкаются не на технологиях, а на решениях, принятых ещё до первой строки кода.

1. ТЗ на 80 страниц вместо сценариев. Большой документ создаёт иллюзию контроля, но целиком его никто не читает. Эффективнее описать роли и сценарии: кто что делает и что получает. Как составить рабочее задание — в статье как составить ТЗ на сайт.
2. Всё и сразу. Первый релиз с сорока функциями легко растягивается на полгода, а бюджет уходит далеко за рамки плана. Релиз из восьми функций выходит за несколько недель и показывает, какие из остальных действительно нужны.
3. Самый дешёвый исполнитель без доступа к коду. Если репозиторий не ваш, то и сервис не ваш. Требуйте доступ с первого дня.
4. Забытая админка. Пользовательская часть продумана до мелочей, а модерировать, возвращать оплаты и отвечать на обращения приходится прямо в базе данных. Админ-панель — полноценная часть продукта.
5. Нет продуктовой аналитики. Без событий и воронок вы не узнаете, где пользователи застревают. Закладывайте аналитику уже в MVP.
6. Нет бюджета на жизнь после запуска. Сервису нужны мониторинг, обновления и исправления. Планируйте поддержку и развитие заранее.
7. Мобильное приложение до проверки спроса. Адаптивный веб-сервис на смартфоне закрывает большинство сценариев MVP. Нативное приложение имеет смысл, когда есть данные о том, как и как часто люди пользуются продуктом.

Что гарантирует Tvorum: фиксированные цену и срок каждого этапа в договоре со скидкой 5% за каждый день нашей просрочки (до 30%), доступ к репозиторию с первого дня, документацию, 12 месяцев гарантии на ошибки и полную собственность на код. Если пока достаточно сайта с кабинетом «лайт», посмотрите корпоративный сайт в пакете Максимум — это существенно дешевле.