La maggior parte dei proprietari non sa se il proprio sito può essere violato finché non succede. Un penetration test risponde a questa domanda in profondità, ma è un progetto con un budget. La verifica gratuita è il primo passo: mostra se un attaccante che non sa nulla di te trova un modo per entrare.
Guardiamo il sito dall’esterno, senza account e senza accesso al tuo server, e verifichiamo che cosa è visibile e raggiungibile da internet. Se non troviamo nulla, ricevi gratuitamente un report che lo dichiara. Se troviamo vulnerabilità, ti diciamo quante sono e quanto sono gravi, e decidi tu se acquistare il report con i dettagli e le correzioni.
01Perimetro
Che cosa testiamo
HTTPS e TLS: versioni dei protocolli, certificati, reindirizzamenti
Header di sicurezza e attributi dei cookie
File e interfacce esposti: backup, file di configurazione, cartelle del controllo di versione, pannelli di amministrazione, pagine di debug
Sistema di gestione dei contenuti, plugin, framework e software del server con vulnerabilità note
Moduli e parametri pubblici: injection e cross-site scripting, testati con richieste di prova innocue
Pagine di accesso, registrazione e recupero della password: protezione contro i tentativi di indovinare le credenziali e contro l’enumerazione
Informazioni rivelate da messaggi di errore, source map e metadati
Record del dominio che proteggono dalle email falsificate: SPF, DKIM, DMARC
02Approccio
Come si svolge il lavoro
01
Richiesta e autorizzazione
Indichi il sito e confermi di esserne il proprietario o di agire per conto del proprietario. Prima dell’inizio della verifica, il proprietario, o una persona autorizzata dal proprietario, firma un’autorizzazione che riporta l’indirizzo e le date della verifica.
02
Verifica
Gli strumenti mappano il sito e gli specialisti verificano a mano ogni sospetto e scartano i falsi allarmi. Non ci sono azioni distruttive, test di carico né tentativi di leggere i dati dei tuoi visitatori.
03
Esito
Ricevi l’esito da 1 a 5 giorni lavorativi dopo la firma dell’autorizzazione. Nessuna vulnerabilità: il report è gratuito. Vulnerabilità rilevate: un avviso con il loro numero, la loro gravità sulla scala CVSS 4.0 e il prezzo del report.
04
Report e retest
Ricevi il report subito dopo il pagamento: ogni rilievo con prove, passaggi per la riproduzione e una correzione. Una volta applicate le correzioni, eseguiamo gratuitamente il retest di ogni rilievo.
Perché siamo pagati per un risultato. Un sito senza vulnerabilità non costa nulla al suo proprietario; un sito con vulnerabilità ci dà un report che vale la pena acquistare. È il principio del bug bounty, applicato al tuo sito con la tua autorizzazione.
E se decidiamo di non acquistare il report?
In quel caso non è dovuto nulla. Ciò che abbiamo trovato resta riservato: non lo trasmettiamo a nessuno e non pubblichiamo nulla.
Come viene determinato il prezzo del report?
In base al numero dei rilievi e alla loro gravità sulla scala CVSS 4.0. Il prezzo è indicato nell’avviso, prima che tu decida, e resta valido per 30 giorni.
Vi serve l’accesso al nostro server?
No. La verifica si svolge dall’esterno, così come un visitatore vede il sito. Il test con account e ruoli è un servizio separato, il penetration test di applicazioni web.
La verifica può danneggiare il sito?
La verifica non prevede azioni distruttive né test di carico. Se il sito diventa instabile, ci fermiamo e ti contattiamo.
Un canale pubblico e un processo funzionante per le segnalazioni di vulnerabilità provenienti dall’esterno: politica, security.txt, ricezione, triage e divulgazione coordinata.
Programmi e verifiche
08Richiesta
Dicci che cosa va testato
Verifica del sito gratuita
Risposta entro 1 giorno lavorativo
NDA prima di qualsiasi dettaglio tecnico
Prezzo fisso per gli incarichi a pagamento
Senza impegno
Richiesta ricevuta
Codice di riferimento
Conserva il codice: lo indichiamo in tutte le comunicazioni successive con te.
Che cosa succede ora
Un responsabile esamina la richiesta e risponde entro 1 giorno lavorativo.
Concordiamo il perimetro, le regole di ingaggio e un canale sicuro per il materiale sensibile.
Ricevi una proposta con metodo, calendario e prezzo fisso. Per la verifica gratuita del sito ricevi l’autorizzazione da firmare.
Nella prima risposta non chiediamo mai pagamenti, password o accesso remoto.