Веб-безопасность · приложения и API

Пентест вашего веб-приложения

Мы находим уязвимости раньше, чем их найдёт кто-то другой: проверяем вручную, подтверждаем доказательствами и точно говорим, как их устранить.

OWASP Top 10 и ASVSBlack-box или grayboxПовторная проверка после устранения
Запросить предложение →Как мы работаем
Что мы тестируем

Весь путь атакующего через приложение

Не только то, что находит сканер, но и то, что видит человек, думающий как злоумышленник.

Инъекции и обработка ввода

SQL-инъекции, XSS, внедрение команд, загрузка файлов, SSRF и небезопасная десериализация — классы OWASP Top 10, проверенные на каждой точке входа.

Аутентификация и сессии

Политика паролей, блокировка после попыток, сброс пароля, 2FA, срок жизни и аннулирование сессий, cookie, CSRF и JWT-токены.

Авторизация и доступ между ролями

Может ли один клиент увидеть счета другого? Может ли обычный пользователь выполнить действие администратора? IDOR и повышение привилегий, проверенные роль за ролью.

REST- и GraphQL-API

Каждый API тестируется как отдельная цель: аутентификация, ограничения частоты запросов, избыточное раскрытие данных и доступ к объектам по OWASP API Security Top 10.

Бизнес-логика

Изменённые цены в корзине, пропущенные шаги оплаты, дважды применённые скидки — ошибки, которые не понимает ни один сканер, потому что он не знает, что должно делать приложение.

Конфигурация и раскрытие

Заголовки безопасности, TLS, CORS, открытые файлы и панели, уязвимые версии компонентов и слишком подробные сообщения об ошибках.

Запрос предложения

Соберите запрос за две минуты

Три шага, без угадывания цен: расскажите, что у вас есть, и в течение рабочего дня вы получите периметр, длительность и график теста.

  1. 1 Что тестируем
  2. 2 Как и когда
  3. 3 Куда ответить
Что нужно протестировать?
Сколько ролей пользователей в приложении?
Насколько велико приложение?
Есть ли документация API или исходный код, которые можно передать?
Как тестируем?
В какой среде?
Когда можно тестировать?
Касается ли вас регулирование или аудит?
Когда нужен отчёт?
По одному в строке. Ничего не тестируется до подписанного разрешения.

Мы используем ваши данные только для ответа на этот запрос. Политика конфиденциальности

Методология

Как проходит пентест

По OWASP Web Security Testing Guide, PTES и OSSTMM — и после подписанного разрешения на тестирование, до начала любых тестов.

  1. Периметр и предложение

    Вы сообщаете, какие приложения, API и роли входят в тест; вы получаете предложение с периметром, сроками и графиком.

  2. Разрешение на тестирование

    Вы подписываете разрешение в портале: цели, окно тестирования и правила. Без него ни один тест не начинается.

  3. Разведка и тестирование

    Мы составляем карту приложения, затем вручную тестируем каждый класс уязвимостей, используя автоматические инструменты лишь как вспомогательные. Статус тестирования виден в портале.

  4. Отчёт и разбор

    Вы получаете отчёт для руководства и технический отчёт; о серьёзных находках мы сообщаем сразу, а не в конце.

  5. Устранение и повторная проверка

    После исправления вы запрашиваете повторную проверку из портала: мы проверяем каждую находку и закрываем её с доказательством.

Что вы получаете

Результаты

  • Отчёт для руководства: риск понятным языком, без жаргона
  • Технический отчёт: каждая находка с критичностью, доказательством и шагами воспроизведения
  • Конкретные шаги по устранению для вашей технологии
  • Находки в портале: ответственный, срок, история и повторная проверка в один клик
  • Письмо-подтверждение для аудиторов с публичной проверкой
Дальше

Руководства по этой услуге

Руководство по OWASP Top 10Как подготовиться к пентестуПентест или сканирование уязвимостей?
Частые вопросы

Что нас спрашивают клиенты

Сколько длится пентест веб-приложения?
Обычно 3–5 дней тестирования для веб-приложения, затем отчёт. Точная длительность зависит от числа ролей, API и размера приложения; мы фиксируем её в предложении, увидев периметр.
Тестируете ли вы приложение за авторизацией?
Да. При тестировании graybox мы получаем тестовые учётные записи для каждой роли (например, пользователь и администратор) и проверяем, может ли одна роль получить доступ к данным или действиям другой — обычно именно там самые серьёзные проблемы.
Есть ли риски для приложения в продакшене?
Мы работаем с максимальной осторожностью: тесты планируются вместе с вами после подписанного разрешения на тестирование, а действия, которые могут удалить или изменить данные, согласуются заранее или выполняются на тестовой среде.
Что мы получаем в конце?
Отчёт для руководства и технический отчёт для команды: каждая находка с уровнем критичности (критический, высокий, средний, низкий), доказательством и шагами по устранению. Находки также отслеживаются в портале, где вы запрашиваете повторную проверку после исправления.
Что ещё есть в портале, кроме отчёта?
Публичный API только для чтения с ключами компании (находки в JSON, CSV или SARIF) и MCP-сервер для ИИ-ассистентов; аналитика устранения со средним временем исправления и, когда данных достаточно, сравнением с медианой платформы; пассивное обнаружение поверхности атаки, только от доменов самой компании; календарь проектов в виде файла .ics или подписки; односторонний канал Slack или Teams для каждого проекта; и несколько компаний в одной учётной записи с переключателем между ними.

Хотите знать, в каком состоянии ваше приложение?

Опишите периметр — мы ответим предложением в течение одного рабочего дня.

Запросить предложение →