Testy penetracyjne zanim zrobi to ktoś inny
Sprawdzamy Twoją aplikację webową tak, jak zrobiłby to atakujący - tylko że raport trafia do Ciebie. Rozliczenie za dzień pracy albo stała cena za cały projekt.
Per projekt albo per dzień.
Wybierz model, który pasuje do Twojego projektu. Ceny orientacyjne - ostateczna wycena po ustaleniu zakresu testów.
Strona / landing page
Strona firmowa, landing page, prosty formularz lub panel.
ok. 2 dni testów
- Testy według OWASP Top 10
- Formularze, logowanie i sesje
- Konfiguracja serwera i nagłówki bezpieczeństwa
- Raport z PoC i rekomendacjami
- Retest po wprowadzeniu poprawek
Aplikacja webowa
Najczęściej wybieranyAplikacja z logowaniem, rolami i panelem użytkownika.
ok. 5-6 dni testów
- Wszystko z pakietu Strona
- Role i uprawnienia (IDOR, eskalacja)
- Logika biznesowa i race conditions
- Tokeny i sesje (JWT, refresh tokens)
- Testy REST API
Sklep / SaaS / API
Rozbudowany system, płatności, wiele typów kont lub publiczne API.
ok. 10+ dni testów
- Wszystko z pakietu Aplikacja webowa
- Płatności, koszyk i checkout
- Separacja danych klientów (multi-tenant)
- GraphQL / REST API i rate limiting
- Cache poisoning i HTTP request smuggling
- Omówienie wyników z Twoim zespołem
Co sprawdzamy w Twojej aplikacji.
Kontrola dostępu (IDOR)
Czy użytkownik widzi lub zmienia dane, do których nie powinien mieć dostępu.
Logowanie i sesje
Obejście logowania, przejęcie sesji, słaby reset hasła.
Wstrzykiwanie (SQLi, XSS)
Dane wejściowe, które trafiają do bazy lub przeglądarki bez filtrowania.
CSRF i CORS
Akcje wykonywane w imieniu zalogowanego użytkownika z obcej domeny.
Race conditions
Równoległe żądania, które łamią limity, salda i kody rabatowe.
Brute force i rate limiting
Odporność logowania, formularzy i API na masowe próby.
Cache poisoning / deception
Błędy cache, przez które cudze dane trafiają do innych osób.
HTTP request smuggling
Niespójności między proxy a serwerem aplikacji.
Jak wygląda pentest.
Zakres i zgoda
Ustalamy, co testujemy, kiedy i na jakim środowisku. Podpisujemy umowę i NDA.
Rekonesans
Mapujemy aplikację: endpointy, role, integracje i powierzchnię ataku.
Testy
Testy manualne wspierane narzędziami. Krytyczne luki zgłaszamy od razu.
Raport
Opis podatności, ocena CVSS, PoC i konkretne rekomendacje poprawek.
Retest
Po poprawkach sprawdzamy, czy luki zostały skutecznie zamknięte.
Audyty, code review i bug bounty.
Audyt bezpieczeństwa
2 000 - 5 000 zł
Przegląd konfiguracji serwera, nagłówków HTTP, uprawnień i polityk CORS/CSP/HSTS.
- Konfiguracja serwera (Nginx / Apache)
- Nagłówki HTTP (CSP, HSTS, X-Frame-Options)
- Wyszukiwanie ukrytych endpointów
- Weryfikacja uprawnień i ról
- Konfiguracja CORS i polityk cookie
- Raport pisemny z rekomendacjami
Security code review
70 zł / h
Analiza kodu źródłowego pod kątem błędów uwierzytelniania, logiki biznesowej i obsługi tokenów.
- Implementacja uwierzytelniania i autoryzacji
- Obsługa tokenów (JWT, refresh tokens)
- Logika biznesowa pod kątem podatności
- Walidacja i sanityzacja danych wejściowych
- Bezpieczeństwo zapytań do bazy danych
- Raport z priorytetami poprawek
Prywatny bug bounty
success fee / retainer
Program bug bounty dla Twojej aplikacji: ustalamy zakres, tabelę nagród i czas trwania.
- Zakres (scope) - co testujemy, a czego nie
- Tabela severity z przypisanymi nagrodami
- Ciągłe testy przez czas trwania programu
- Raport końcowy ze wszystkimi znaleziskami
- Konsultacje przy naprawach
Praktyka, nie teoria.
Doświadczenie z bug bounty
Ponad 60 potwierdzonych podatności w programach bug bounty, miejsce w top ~2500 hakerów na YesWeHack.
Raport, który da się wdrożyć
Każda podatność z opisem, PoC i konkretną poprawką - nie lista ze skanera.
Bezpieczeństwo w naszym kodzie
Argon2id, WebAuthn / TOTP i audit trail stosujemy we własnych projektach.
Sprawdźmy Twoją aplikację zanim zrobi to ktoś inny.
Bezpłatna konsultacja i wycena dopasowana do zakresu testów.