Securitate web · aplicații și API-uri

Pentest pentru aplicația dumneavoastră web

Găsim vulnerabilitățile înainte să le găsească altcineva: le verificăm manual, le demonstrăm cu dovezi și vă spunem exact cum se repară.

OWASP Top 10 și ASVSBlack-box sau grayboxRe-testare după remediere
Solicitați o ofertă →Cum lucrăm
Ce testăm

Tot drumul unui atacator prin aplicație

Nu doar ce găsește un scaner, ci și ce vede un om care gândește ca adversarul.

Injecții și date de intrare

SQL injection, XSS, injecții de comenzi, încărcări de fișiere, SSRF și deserializare nesigură — clasele din OWASP Top 10, verificate pe fiecare punct de intrare.

Autentificare și sesiuni

Politica parolelor, blocarea după încercări, resetarea parolei, 2FA, durata și invalidarea sesiunilor, cookie-urile, CSRF și jetoanele JWT.

Autorizare și acces între roluri

Poate un client să vadă facturile altuia? Poate un utilizator obișnuit să facă o acțiune de administrator? IDOR și escaladarea drepturilor, verificate rol cu rol.

API-uri REST și GraphQL

Fiecare API se testează ca o țintă în sine: autentificarea, limitele de rată, expunerea excesivă de date și accesul la obiecte, după OWASP API Security Top 10.

Logica de business

Prețuri modificate în coș, pași de plată săriți, reduceri aplicate de două ori — erori pe care niciun scaner nu le înțelege, pentru că nu știe ce trebuie să facă aplicația.

Configurare și expunere

Antete de securitate, TLS, CORS, fișiere și panouri expuse, versiuni vulnerabile ale componentelor și mesaje de eroare care spun prea mult.

Cerere de ofertă

Construiți-vă cererea în două minute

Trei pași, fără prețuri de ghicit: ne spuneți ce aveți, iar în cel mult o zi lucrătoare primiți perimetrul, durata și calendarul testului.

  1. 1 Ce testăm
  2. 2 Cum și când
  3. 3 Unde vă răspundem
Ce vreți să testăm?
Câte roluri de utilizator are aplicația?
Cât de mare e aplicația?
Aveți documentație API sau cod sursă pe care ni le puteți da?
Cum testăm?
Pe ce mediu?
Când putem testa?
Vă privește vreo reglementare sau un audit?
Până când aveți nevoie de raport?
Câte una pe rând. Nimic nu se testează înainte de autorizarea semnată.

Folosim datele doar ca să vă răspundem la această cerere. Politica de confidențialitate

Metodologie

Cum decurge un pentest

După OWASP Web Security Testing Guide, PTES și OSSTMM — și după o autorizare de testare semnată, înainte de orice test.

  1. Perimetru și ofertă

    Ne spuneți ce aplicații, API-uri și roluri intră în test; primiți o ofertă cu perimetrul, durata și calendarul.

  2. Autorizarea de testare

    Semnați în portal autorizarea: țintele, fereastra de testare și regulile. Fără ea nu începe niciun test.

  3. Recunoaștere și testare

    Cartografiem aplicația, apoi testăm manual fiecare clasă de vulnerabilitate, cu unelte automate doar ca sprijin. Vedeți în portal stadiul testării.

  4. Raport și prezentare

    Primiți raportul executiv și cel tehnic; constatările grave vi le semnalăm imediat, nu la final.

  5. Remediere și re-testare

    După ce reparați, cereți din portal re-testarea: verificăm fiecare constatare și o închidem cu dovadă.

Ce primiți

Livrabilele

  • Raport executiv: riscul pe înțelesul conducerii, fără jargon
  • Raport tehnic: fiecare constatare cu gravitatea, dovada și pașii de reproducere
  • Pași de remediere concreți, pe tehnologia dumneavoastră
  • Constatările în portal: responsabil, termen, istoric și re-testare cu un clic
  • Scrisoare de atestare pentru auditori, verificabilă public
Mai departe

Ghiduri legate de acest serviciu

Ghidul OWASP Top 10Cum vă pregătiți pentru un pentestPentest sau scanare de vulnerabilități?
Întrebări frecvente

Ce ne întreabă clienții

Cât durează un pentest de aplicație web?
De obicei 3–5 zile de testare pentru o aplicație web, apoi raportul. Durata exactă depinde de numărul de roluri, de API-uri și de mărimea aplicației; o stabilim în ofertă, după ce vedem perimetrul.
Testați și aplicația din spatele autentificării?
Da. În testarea graybox primim conturi de test pentru fiecare rol (de exemplu utilizator și administrator) și verificăm dacă un rol poate ajunge la datele sau acțiunile altuia — acolo apar de obicei cele mai grave probleme.
Există riscuri pentru aplicația în producție?
Lucrăm cu maximum de precauție: testele se planifică împreună cu dumneavoastră, după o autorizare de testare semnată, iar acțiunile care ar putea șterge sau modifica date se agreează dinainte sau se fac pe un mediu de test.
Ce primim la final?
Un raport executiv pentru conducere și unul tehnic pentru echipă: fiecare constatare cu gravitatea (critic, ridicat, mediu, scăzut), dovada și pașii de remediere. Constatările le urmăriți și în portal, unde cereți re-testarea după ce le reparați.
Ce mai găsim în portal, în afara raportului?
Un API public doar de citire, cu cheile firmei (constatările în JSON, CSV sau SARIF) și un server MCP pentru asistenții AI; analiza remedierii, cu timpul mediu de remediere și, când există destule date, comparația cu mediana platformei; descoperirea pasivă a suprafeței de atac, pornind doar de la domeniile firmei; calendarul angajamentelor ca fișier .ics sau abonare; un canal Slack sau Teams pe angajament, într-un singur sens; și mai multe firme sub același cont, cu un comutator între ele.

Vreți să știți unde stă aplicația dumneavoastră?

Descrieți-ne perimetrul; răspundem cu o ofertă în cel mult o zi lucrătoare.

Solicitați o ofertă →