Не знаю, чи сайт взагалі захищений
Перевіряємо сайт за переліком OWASP Top 10 (список найчастіших веб-вразливостей) і показуємо реальні знахідки з кроками відтворення.
Знайдемо вразливості у вашому сайті раніше, ніж це зроблять зловмисники
Ми перевіряємо сайт, API та інтеграції так, як це робить атакувальник, але з вашого дозволу. Ви отримуєте звіт: що знайдено, як відтворити і як виправити. Сайт, клієнтські дані та автоматизації працюють безпечніше.
Кошторис і строки після брифу
Кому підходить
- Власники інтернет-магазинів, які приймають оплату і зберігають дані покупців
- Компанії із сайтом, пов'язаним з CRM, ШІ-агентом чи чат-ботом
- Команди перед запуском нового сайту чи великої рекламної кампанії
- Бізнес, якого просять підтвердження безпеки партнери чи клієнти
Які задачі вирішуємо
Боюся, що витечуть дані клієнтів
Шукаємо слабкі місця в авторизації, правах доступу і API. Окремо перевіряємо, чи не можна побачити чужі замовлення чи профілі.
Попередній аудит був автоматичним сканом без пояснень
Сканери запускаємо лише як початок. Далі перевіряємо вручну і пишемо звіт зрозумілою мовою, з пріоритетами для розробника.
Не знаю, що виправляти першим
Кожну вразливість оцінюємо за ризиком (CVSS — шкала від 0 до 10) і даємо порядок виправлень. Після правок робимо повторну перевірку.
Що входить у роботу
- Узгодження обсягу і письмовий дозвіл на тестування
- Розвідка: які домени, піддомени, сервіси та технології видно ззовні
- Автоматичне сканування (Burp Suite, OWASP ZAP, Nmap, nuclei)
- Ручна перевірка авторизації, сесій і прав доступу (зокрема IDOR — доступ до чужих даних через підміну ID)
- Перевірка форм і API на ін'єкції та XSS (виконання чужого коду на сторінці)
- Перевірка налаштувань сервера, HTTPS, заголовків безпеки, відкритих портів
- Перегляд ключів, токенів і доступів, що можуть «світитися» в коді чи відповідях сайту
- Звіт: резюме для власника і технічні деталі для розробника
- Розбір звіту на дзвінку і відповіді на запитання
- Повторна перевірка виправлень у пакетах, де вона вказана
Оберіть обсяг роботи
Пакет допомагає описати задачу. Кошторис і строки погоджуємо після брифу та уточнення вимог.
01
Експрес-аудит
Лендінг, сайт-візитка або невеликий магазин
- Автоматичне сканування і ручна перевірка основних ризиків
- Налаштування сервера, HTTPS, форм, адмінки
- Звіт з пріоритетами виправлень
- Дзвінок з розбором результатів
02
Пентест веб-застосунку
Інтернет-магазин, кабінет клієнта, сервіс з ролями користувачів
- Тест з обліковими записами різних ролей (grey-box — із частковим знанням системи)
- Авторизація, сесії, права доступу, бізнес-логіка
- Перевірка API та інтеграцій з CRM і платіжними системами
- Детальний звіт з відтворенням кожної вразливості
- Одна повторна перевірка після виправлень
03
Розширений аудит
Продукт із кількома сервісами, ШІ-агентами та власною інфраструктурою
- Усе з пакета «Пентест веб-застосунку»
- Зовнішня інфраструктура: сервери, піддомени, хмарні налаштування
- Перевірка ШІ-агентів і чат-ботів на витік даних та небезпечні команди
- План виправлень на погоджений період
- Дві повторні перевірки
Як працюємо
Бриф і вимоги
Ви описуєте задачу й поточний процес. Уточнюємо вимоги, обираємо перший етап і готуємо кошторис.
Дозвіл і доступи
Підписуємо письмовий дозвіл на тестування. Ви надаєте тестові акаунти і, за можливості, тестове середовище.
Тестування
Спершу збираємо відкриті дані і запускаємо сканери. Потім перевіряємо вручну те, що сканери не бачать.
Звіт і розбір
Передаємо звіт і пояснюємо на дзвінку кожну знахідку. Критичні проблеми повідомляємо одразу, не чекаючи кінця роботи.
Повторна перевірка
Після виправлень перевіряємо, чи вразливості закриті. Усі файли й матеріали лишаються у вас.
Межі роботи
- Не обіцяємо, що знайдемо всі вразливості. Тест показує стан на дату перевірки, а не вічну безпеку.
- Не тестуємо без письмового дозволу власника і не атакуємо чужі сервіси, наприклад хостинг чи платіжні шлюзи.
- Не робимо DDoS-атаки і не перевіряємо співробітників фішингом, якщо ви окремо цього не домовлялися.
Часті питання
Чим пентест відрізняється від аудиту безпеки?
Пентест (penetration test) — це імітація атаки з дозволу власника, яка доводить, що вразливість можна використати. Аудит ширший: перевіряє також налаштування і процеси. У наших пакетах ми поєднуємо обидва підходи.
Чи можна тестувати робочий сайт?
Можна, але краще на копії (staging — тестове середовище). Так ми не зачепимо реальних клієнтів і замовлення. Якщо копії немає, домовляємося про обережний режим і час тестування.
Що мені потрібно надати?
Адресу сайту, письмовий дозвіл, тестові акаунти для різних ролей і контакт технічної людини. Для хмарних сервісів може знадобитися повідомити провайдера. Ми підкажемо, що саме.
Ви самі виправляєте вразливості?
Звіт містить конкретні рекомендації для вашого розробника. Якщо хочете, ми виконаємо правки окремою роботою, її вартість узгодимо до початку. Тест і виправлення ми розділяємо навмисно, щоб звіт був незалежним.
Чи отримаю я документ для партнера чи клієнта?
Так, ми підготуємо короткий підсумок для зовнішнього використання без технічних деталей. Це не офіційна сертифікація. Якщо потрібен формальний сертифікат, його видає акредитована організація.
Як відбувається оплата?
Порядок оплати погоджуємо разом із кошторисом до старту. Якщо проєкт має кілька етапів, описуємо результат і умови приймання для кожного. Підтримку та зовнішні сервіси враховуємо окремо.
Почнемо з вашої задачі
Опишіть бізнес, бажаний результат і поточний процес. Після брифу уточнимо вимоги та підготуємо кошторис.