Вайбкодинг і дешеві сайти від ШІ: ризики для бізнесу й кому довірити розробку

Оголошення «сайт за 3 000 гривень за два дні» у 2026 році вже нікого не дивують. Частину таких сайтів збирають у нейромережі за вечір: людина описує, що потрібно, ШІ генерує сторінки й код, і за кілька годин з’являється щось схоже на готовий продукт. Цей підхід називають вайбкодингом (vibe coding, вайб-кодинг).

Зовні такий сайт може виглядати не гірше, ніж робота студії. Різниця — під капотом: хто перевірив безпеку форм і бази, на кого оформлено домен, чи бачить сайт Google, чи доходять заявки й хто виправить помилку через пів року. Розбираємо, що ви отримуєте за дешевий сайт від ШІ, які реальні випадки вже траплялися з такими продуктами, скільки коштує «економія» на практиці та як перевірити підрядника до оплати.

Якщо ви вже обираєте виконавця, паралельно подивіться, з чого складається вартість сайту у 2026 році і що входить у розробку сайту під ключ.

Коротко: головне зі статті

• Вайбкодинг — це створення програм через ШІ без глибокого розуміння коду. Для прототипу це нормально, для сайту, який приймає заявки й персональні дані, — ризиковано.
• За дослідженням Veracode (2025), у 45% завдань моделі ШІ генерували код із вразливостями з переліку OWASP Top 10.
• У 2025 році в застосунках, створених на популярних ШІ-платформах, знаходили відкриті бази з email, телефонами, платіжними даними й ключами API.
• Головна проблема дешевого сайту — не ШІ як інструмент, а те, що ніхто не перевіряє результат і не відповідає за нього за договором.
• Дешевий сайт часто дорожчає вже в перший рік: втрачені заявки, дорожча реклама на слабкій сторінці, переробка.
• Перед оплатою перевірте договір, власника домену, доступи, безпеку, індексацію й аналітику — нижче є чекліст і безкоштовні інструменти.

Що таке вайбкодинг простими словами

Термін запропонував Андрій Карпатий (Andrej Karpathy), один із засновників OpenAI, у лютому 2025 року. Він описав підхід, за якого людина повністю довіряється ШІ й «забуває, що код узагалі існує»: формулює бажання словами, приймає згенерований результат і просить виправити те, що не працює, не вникаючи в причини. Вже в листопаді 2025-го словник Collins назвав «vibe coding» словом року.

Інструментів для цього багато: Lovable, Bolt, v0, Replit, Base44, Cursor. Найпростіші з них дають зібрати сайт або застосунок у браузері за підписку близько 25 доларів на місяць. Саме тому на ринку з’явилися пропозиції, де ціна сайту ледь перевищує вартість кількох місяців такої підписки.

Вайбкодинг і розробка з ШІ — не одне й те саме

ШІ-асистентами сьогодні користуються й досвідчені розробники. Різниця не в інструменті, а в тому, хто й як перевіряє результат.

Чому на ринку з’явилися сайти за 2–5 тисяч гривень

Ринок створення сайтів в Україні зараз умовно ділиться на чотири рівні. Межі розмиті, але логіка ціни зрозуміла.

Ціни студії в таблиці — з нашої сторінки цін. Детальніше про різницю між виконавцями — у статті «Фрилансер чи веб-студія».

ШІ справді скоротив час до першого екрана: те, що раніше верстали тиждень, тепер можна показати клієнту за вечір. Але не подешевшало те, що відбувається після першого екрана: проєктування структури під пошукові запити, перевірка безпеки, налаштування заявок і аналітики, юридичні вимоги, тестування на телефонах, підтримка. Дешевий виконавець економить саме на цьому — бо замовник цього не бачить до першої проблеми.

Що кажуть дослідження: ШІ пише код, але не відповідає за нього

Компанія Veracode, яка спеціалізується на безпеці коду, у липні 2025 року протестувала понад 100 мовних моделей на 80 типових завданнях. Результат:

• у 45% випадків модель обирала небезпечний варіант і додавала в код вразливість із переліку OWASP Top 10;
• від міжсайтового скриптингу (XSS) моделі не захищалися в 86% відповідних завдань;
• для Java частка небезпечних рішень перевищила 70%, для JavaScript і Python — від 38 до 45%.

Самі розробники ставляться до ШІ обережно. В опитуванні Stack Overflow 2025 року (понад 49 тисяч респондентів) 84% сказали, що користуються або планують користуватися ШІ, але довіряють точності його відповідей лише 33%. Найчастіша скарга, яку назвали 66% опитаних, — рішення, які «майже правильні, але не зовсім». А 45% зазначили, що налагодження згенерованого коду забирає більше часу, ніж очікували.

«Майже правильно» — це саме те, що отримує власник дешевого сайту: форма відправляється, але лист не приходить; сторінка відкривається, але її немає в Google; адмінка працює, але пароль від неї зберігається у відкритому вигляді.

Реальні випадки: як продукти, зібрані вайбкодингом, підводили власників

Нижче — не страшилки, а задокументовані історії 2025 року з публічними розслідуваннями.

Відкриті бази даних у застосунках на Lovable

Дослідник Метт Палмер перевірив 1 645 застосунків, створених на платформі Lovable, і знайшов 170 проєктів (303 точки доступу), де будь-хто міг читати дані з бази без входу в систему. Серед відкритих даних були імена, email, телефони, статуси платежів і ключі API. Причина — правила доступу до бази даних (Row Level Security), яких у згенерованих проєктах не було або які нічого не обмежували. Вразливість отримала ідентифікатор CVE-2025-48757. Платформа згодом додала автоматичну перевірку безпеки, але сама перевірка не замінює людину, яка розуміє, які дані й кому має бути видно.

Обхід входу на платформі Base44

У липні 2025 року фахівці Wiz знайшли в Base44, платформі для вайбкодингу, яка належить Wix, помилку: знаючи лише публічний ідентифікатор застосунку, можна було зареєструватися в чужому приватному застосунку й обійти авторизацію. Платформа виправила проблему протягом доби, ознак використання вразливості не знайшли. Але самі власники застосунків помітити такий ризик не могли.

Сервіс, який закрили через тиждень після атак

У березні 2025 року засновник сервісу EnrichLead публічно хвалився, що написав продукт без жодного рядка ручного коду. Після цього користувачі знайшли ключі API, вшиті прямо в код сторінки, а платну частину обійшли кількома рядками CSS. Через кілька днів сервіс закрили, а автор визнав, що не варто було випускати неперевірений код у продакшн.

ШІ-агент видалив робочу базу даних

У липні 2025 року засновник SaaStr Джейсон Лемкін тестував вайбкодинг у Replit. На дев’ятий день ШІ-агент, попри пряму заборону вносити зміни, видалив робочу базу з даними про 1 206 керівників і понад 1 196 компаній. Керівник Replit назвав інцидент неприйнятним і пообіцяв розділити тестові та робочі бази та покращити відновлення з резервних копій.

Звичайний сайт компанії — не SaaS-сервіс, але слабкі місця ті самі: форми з персональними даними, адмінка, інтеграції з CRM, ключі доступу до сервісів, бекапи.

8 ризиків дешевого сайту для бізнесу

1. Вразливості й витік даних клієнтів

Форма заявки, кошик, особистий кабінет, адмінка — усе це точки, через які можна отримати доступ до даних. Типові помилки згенерованого коду: ключі сервісів у відкритому коді сторінки, адмінка без обмеження спроб входу, відсутність захисту від спаму й ін’єкцій, стандартні паролі. Витік — це не лише репутація. Кодекс України про адміністративні правопорушення (стаття 188-39) передбачає штрафи за порушення захисту персональних даних: для посадових осіб і підприємців — до 1 000 неоподатковуваних мінімумів, за повторне порушення — до 2 000, тобто до 34 000 гривень. Базові кроки захисту зібрано в матеріалі «Кібербезпека для малого бізнесу».

2. Сайт насправді не ваш

Дуже часто домен, хостинг або акаунт платформи оформлені на виконавця. Поки він на зв’язку, все гаразд. Коли він зникає, ви не можете змінити навіть телефон на сайті, а перенести сайт деінде буває неможливо: проєкт живе в чужому акаунті або прив’язаний до платформи з підпискою. Перевірте власника домену через WHOIS, а доступи вимагайте до фінальної оплати.

3. Google бачить не те, що бачите ви

Частина швидко зібраних сайтів показує вміст лише після виконання JavaScript у браузері. Google такі сторінки відмальовує, але не одразу: вони стоять у черзі на рендеринг, і сам Google радить серверний рендеринг або попередню генерацію сторінок, бо «не всі боти вміють виконувати JavaScript». За даними Vercel (дослідження кінця 2024 року), основні ШІ-пошуковики — боти ChatGPT, Claude, Perplexity — JavaScript не виконували взагалі. Тобто для пошуку в ChatGPT такий сайт може бути порожньою сторінкою. Платформи поступово це виправляють, тому не робіть висновків за назвою інструмента — перевірте конкретний сайт (як саме — у чеклісті нижче).

Окрема історія — SEO-структура. Дешевий сайт зазвичай має одну сторінку на всі послуги, однакові заголовки, немає карти сайту, мікророзмітки, правильних адрес і мовних версій. Він може бути гарним, але клієнтам його просто не знайти. Що таке SEO-база і чому вона закладається на етапі структури, ми розповідаємо на сторінці SEO-просування.

4. Заявки губляться

Найдорожча помилка, бо її не видно. Форма показує «Дякуємо», а лист падає в спам або не відправляється взагалі. Немає сповіщень у Telegram, немає копії заявки в адмінці, немає захисту від ботів — і справжні заявки тонуть серед спаму. Власник думає, що реклама не працює, хоча насправді не працює сайт. Як має бути влаштована форма, щоб її заповнювали, — у статті про форму заявки.

5. Реклама дорожчає і не вчиться

Google Ads прямо називає досвід користувача на цільовій сторінці однією з трьох складових показника якості оголошення. Повільна сторінка, яка не відповідає запиту, — це, як правило, нижча якість і дорожчий клік. А без налаштованих конверсій автоматичні стратегії не знають, які кліки дали заявки, і оптимізують рекламу наосліп. Про це — у статті про стратегії ставок у Google Ads.

6. Повільно й незручно на телефоні

Згенеровані проєкти часто тягнуть важкі бібліотеки й неоптимізовані зображення. На комп’ютері з хорошим інтернетом це непомітно, а на телефоні з мобільним зв’язком сторінка вантажиться кілька секунд — і людина повертається в пошук до конкурента. Перевірити швидкість можна нашим аудитом швидкості сайту.

7. Юридичні вимоги ніхто не врахував

Сайт, який збирає імена й телефони, має політику конфіденційності та згоду на обробку даних. Якщо використовуються аналітика й рекламні пікселі — потрібен банер згоди на cookie. А закон про державну мову з 16 липня 2022 року вимагає, щоб сайти компаній, зареєстрованих в Україні, які продають тут товари чи послуги, мали українську версію: вона має відкриватися за замовчуванням для користувачів в Україні й бути не меншою за обсягом, ніж інші мовні версії. Дешевий виконавець про це зазвичай не думає — бо замовник не питав.

8. Нікому підтримувати, дорожче переробити

Сайт — це не разова покупка: оновлення, резервні копії, сертифікат, зміни цін і послуг. Код, який ніхто не проєктував, важко розширювати: кожна правка ламає щось інше. Один з експертів, опитаних DOU, розповідав, як модуль, зібраний вайбкодингом, обріс «милицями» й став некерованим — зрештою його переписали з нуля. Тож через пів року ви платите вдруге — і вже не 3 000.

Скільки насправді коштує дешевий сайт: умовний розрахунок

Порівняймо два сайти компанії, на які веде однакова реклама: 9 000 гривень на місяць, клік у середньому коштує 50 гривень, тобто близько 180 відвідувачів на місяць. Цифри конверсії умовні — ваші будуть іншими, але логіка та сама.

Різниця в старті — 15 900 гривень. Різниця в результаті — близько двадцяти заявок за пів року за ті самі рекламні гроші. Для бізнесу, де одна угода приносить кілька тисяч гривень прибутку, «дешевий» сайт виявляється найдорожчим варіантом. Детальніше про бюджет — у розборі «Скільки коштує створити сайт у 2026 році».

Новачок із ШІ чи професійна команда: порівняння

Чесно: професіонал теж може помилитися. Різниця в тому, що в нього є процес, який ловить помилки до запуску, і договір, за яким він їх виправляє. Як скласти вимоги, щоб порівнювати пропозиції предметно, — у гайді «Як замовити сайт для бізнесу».

Коли вайбкодинг — розумний вибір

ШІ-генератори — корисний інструмент, якщо розуміти їхню межу. Вони підходять, коли:

• треба за день перевірити ідею або показати інвестору прототип;
• потрібна внутрішня утиліта без персональних даних клієнтів і без оплати;
• це тимчасова сторінка події, яку не треба просувати в пошуку;
• ви самі готові розібратися в налаштуваннях доступу й безпеки або покажете результат фахівцю.

Якщо ж сайт має приводити клієнтів із пошуку й реклами, приймати заявки, оплати чи зберігати дані, — потрібна людина, яка відповідає за результат. Як правильно запускати мінімальну версію продукту, ми пояснюємо в статті про MVP для стартапу.

Як перевірити сайт або підрядника: чекліст

Ці пункти можна перевірити самостійно, навіть без технічних знань. Більшість — до фінальної оплати.

• Є договір, де вказано склад робіт, ціну, строк і гарантію.
• Домен зареєстровано на вас — перевірте через WHOIS.
• Ви отримали доступи до хостингу, адмінки й пошти, а також архів або репозиторій із кодом.
• Сайт відкривається через HTTPS без попереджень — перевірка SSL.
• На сайті немає шкідливого коду й відкритих службових файлів — перевірка сайту на віруси та заголовки безпеки.
• Тестова заявка доходить туди, куди обіцяно: у Telegram, на пошту або в CRM, і зберігається в адмінці.
• Відкрийте сторінку, натисніть Ctrl+U: основний текст має бути в коді сторінки, а не з’являтися лише після завантаження скриптів.
• У кожної сторінки свій заголовок і опис — перевірка метатегів; сторінки не закриті від індексації — перевірка індексації.
• ШІ-пошуковики мають доступ до сайту — перевірка доступу AI-ботів.
• Сторінка швидко відкривається з телефона через мобільний інтернет — аудит швидкості.
• Підключено аналітику GA4, а заявки рахуються як конверсії.
• Є політика конфіденційності, згода у формах і, якщо потрібно, банер cookie.
• Українська версія відкривається за замовчуванням.
• Відомо, хто робить бекапи й оновлення і скільки коштує підтримка.

Повніший список для фінального приймання — у чеклісті перевірки сайту перед запуском. Якщо вимоги ще не сформульовані, почніть із технічного завдання.

Що робити, якщо дешевий сайт уже є

1. Заберіть контроль. Переоформіть домен на себе, отримайте доступи до хостингу, адмінки й пошти, збережіть копію сайту.
2. Перевірте безпеку й заявки. Пройдіть пункти чекліста вище, надішліть кілька тестових заявок із різних пристроїв.
3. Оцініть, чи варто латати. Якщо проблеми точкові — виправте їх і візьміть сайт на технічну підтримку. Якщо ламається все одразу, нова розробка часто дешевша за нескінченні правки.
4. Не вмикайте рекламу на сайт, який губить заявки. Спершу — робоча форма й конверсії, потім бюджет.

Як ми працюємо в BB STUDIO

Ми не проти ШІ — ми проти того, щоб бізнес платив за ризики, про які не знав. Тому в кожному проєкті:

• ціну, строк і склад робіт фіксуємо в договорі до старту, оплата — 50% на старті й 50% після здачі;
• домен реєструємо на вас, доступи й код передаємо після запуску — ви не прив’язані до студії;
• базове SEO, адаптивна верстка, аналітика GA4 і навчання роботі з адмінкою входять у вартість;
• після запуску діє гарантія 3 місяці: помилки з нашої вини виправляємо безкоштовно.

Подивіться наші роботи й відгуки клієнтів, оберіть тип сайту — корпоративний сайт, інтернет-магазин чи сайт-каталог — або опишіть задачу, і в робочий час за 15 хвилин ми безкоштовно розрахуємо вартість.

Висновок

Вайбкодинг зробив перший екран дешевим, але не зробив дешевими безпеку, пошукову видимість, робочі заявки та відповідальність за результат. Сайт за 3 000 гривень може бути нормальним рішенням для перевірки ідеї. Для бізнесу, який вкладає гроші в рекламу й чекає заявок, ціна помилки вимірюється не гривнями за розробку, а втраченими клієнтами, даними й репутацією. Обирайте виконавця не за ціною старту, а за тим, що буде з сайтом через рік.

Джерела

• Automation Atlas: тарифи Lovable у 2026 році
• Veracode: AI-Generated Code Poses Major Security Risks in Nearly Half of All Development Tasks (2025)
• VentureBeat: дані Stack Overflow Developer Survey 2025 про довіру до ШІ
• Superblocks: розбір вразливості CVE-2025-48757 у застосунках Lovable
• The Hacker News: Wiz знайшла обхід авторизації в Base44
• Indie Hackers: історія EnrichLead
• eWeek: ШІ-агент Replit видалив робочу базу даних
• Vercel: The rise of the AI crawler
• Google Search Central: основи SEO для JavaScript
• Довідка Google Ads: показник якості
• DOU: Вайбкодинг — чому всі про нього говорять і коли він справді потрібен
• Львівська ОДА: норми мовного закону щодо сайтів, що діють з 16.07.2022