Sikkerhetstesting · Bare med tillatelse fra eieren
Kan nettstedet ditt hackes? Vi sjekker det gratis.
Hvis vi ikke finner problemer, får du også rapporten gratis. Du betaler for rapporten bare når vi finner problemer, og prisen avhenger av hvor mange de er og hvor alvorlige de er. Vi tester nettsteder, applikasjoner, infrastruktur, KI-systemer og smartkontrakter slik en virkelig angriper ville gjort.
Sjekken av nettstedet ditt koster ingenting. Hvis vi ikke finner sårbarheter, er også rapporten gratis. Rapporten betales bare når vi finner sårbarheter, og prisen avhenger av hvor mange de er og hvor alvorlige de er.
01
Du sender adressen
Og bekrefter at nettstedet er ditt. Før sjekken signerer eieren en tillatelse med adressen og datoene.
02
Vi sjekker nettstedet
Utenfra, slik en angriper ser det, i løpet av 1 til 5 arbeidsdager etter at tillatelsen er signert. Uten destruktive handlinger og uten belastning på serveren.
03
Du får resultatet
Ingen problemer: en gratis rapport. Problemer funnet: antallet, alvorlighetsgraden og prisen på rapporten. Rapporten kommer straks etter betaling; retesten etter utbedringene er gratis.
Offensiv sikkerhet er en tjeneste bare når det er gitt tillatelse. Disse reglene gjelder for hvert oppdrag og for hver bug bounty-rapport, uten unntak.
01
Skriftlig tillatelse først
Testingen starter etter at eieren av systemene har signert tillatelsen og omfanget. Vi verifiserer at den som signerer, har rett til å signere.
02
Omfanget er en grense
Vi rører det som står på listen, og ingenting annet. Tredjeparters systemer testes bare med samtykke fra den som driver dem.
03
Bare offisielle programmer
I bug bounty arbeider vi utelukkende i offisielle programmer på etablerte plattformer, og vi følger retningslinjene i hvert program til punkt og prikke.
04
Bevis fremfor meninger
Et funn rapporteres når det er gjenskapt. Det følges av bevis, konsekvens, en CVSS 4.0-vektor og steg for utbedring.
05
Minst mulig inngrep
Vi beviser konsekvensen med den minst inngripende handlingen, holder oss unna produksjonsdata og stopper når et stoppkriterium er oppfylt.
06
Konfidensielt som standard
Funnene tilhører kunden. Ingenting deles med andre eller publiseres uten skriftlig samtykke.
03Tjenester
Hva vi tester
Fra én enkelt webapplikasjon til en full angrepssimulering. Hver tjeneste har en definert metode, en definert leveranse og en pris som er fastsatt før arbeidet starter.
Vurdering av AWS-, Azure-, Google Cloud- og Kubernetes-miljøer: identiteter, eksponering i nettverket, datalagre og veier fra et første fotfeste til full kontroll.
Kontrollerte kampanjer med phishing, telefonsamtaler og meldinger som måler hvordan mennesker og prosesser reagerer, med resultater per gruppe og aldri per navn.
Angrepstesting av LLM-applikasjoner, agenter og MCP-integrasjoner: prompt injection, datalekkasje, misbruk av verktøy og handlinger utenfor den tiltenkte oppgaven.
Revisjon av smartkontrakter og protokollogikk linje for linje før utrulling: manuell gjennomgang, testing av invarianter og gjennomgang av utbedringene.
En offentlig kanal og en fungerende prosess for sårbarhetsrapporter utenfra: retningslinjer, security.txt, mottak, triage og koordinert offentliggjøring.
Penetrasjonstesting med et omfang og en dokumentasjon som gjør den egnet som bevis for PCI DSS, SOC 2, ISO/IEC 27001, DORA og NIS2.
Programmer og kontroll
04Gangen i et oppdrag
Fra forespørsel til verifisert utbedring
Slik foregår et betalt oppdrag. Hvert steg ender med et dokument du beholder.
01
Forespørsel
Du beskriver systemene og målet. En kundeansvarlig svarer innen 1 arbeidsdag.
Referanse for forespørselen
02
Avklaring av omfanget
Vi avtaler systemer, unntak, testvinduer, kontoer og kontaktpersoner. Du får et tilbud med metodikk og fast pris.
Tilbud
03
Tillatelse
NDA-en, avtalen og den skriftlige tillatelsen signeres. Vi kontrollerer retningslinjene for testing hos hosting- og skyleverandørene dine.
Skriftlig tillatelse, regler for gjennomføring
04
Testing
Manuell testing med støtte fra verktøy. Funn med kritisk eller høy alvorlighetsgrad rapporteres innen 24 timer etter bekreftelse og holdes ikke tilbake til sluttrapporten.
Hastevarsler om funn
05
Rapport og gjennomgang
Et ledersammendrag for ledelsen, tekniske detaljer for ingeniørene og et gjennomgangsmøte med begge.
Rapport
06
Retest
Når utbedringene er satt i drift, tester vi hvert funn på nytt innen 60 dager etter at rapporten er levert, og vi utsteder et bekreftelsesbrev.
Rapporten er produktet. En annen spesialist går gjennom den før den når deg.
Ledersammendrag
Risiko uttrykt i forretningsspråk, tilstanden til systemet og prioriteringene, på to sider.
Omfang og metode
Hva som ble testet, når, hvorfra, med hvilke kontoer, og hva som var utenfor omfanget.
Funn
Én oppføring per problem: beskrivelse, bevis, steg for å gjenskape, konsekvens, CVSS 4.0-vektor, CWE, utbedring.
Angrepsveier
Hvordan enkeltstående svakheter kjedes sammen til en kompromittering, steg for steg.
Utbedringsplan
Utbedringer ordnet etter risikoen de fjerner, og innsatsen de krever.
Resultater av retesten
Statusen til hvert funn etter utbedringen, og bekreftelsesbrevet.
06Oppdragsmodeller
Måter å arbeide med oss på
Modellen retter seg etter modenheten til systemet og takten i utgivelsene.
Gratis sjekk av nettsted
En ekstern sjekk av ett nettsted. Du får vite om det er åpent for vanlige angrep, før du bruker penger.
Passer for
Et første blikk på sikkerheten til et offentlig nettsted.
Pris
Gratis. Rapporten betales bare når vi finner sårbarheter; prisen avhenger av hvor mange de er og hvor alvorlige de er.
Vurdering med fast omfang
Et definert sett med systemer testes én gang, med rapport og retest.
Passer for
Utgivelser, revisjoner, due diligence, frister for etterlevelse.
Pris
Fast pris for det avtalte omfanget.
Kontinuerlig testing
Et fast team tester hver vesentlige endring og undersøker perimeteren på nytt etter en fast plan.
Passer for
Produkter med nye utgivelser hver uke.
Pris
Månedspris for et avtalt volum av testing.
Betaling for resultater
En privat, tidsavgrenset jakt utført av teamet vårt. Du betaler for bekreftede sårbarheter etter en belønningstabell som er avtalt på forhånd.
Passer for
Modne systemer som er testet før.
Pris
Belønning per bekreftet funn, med et budsjettak.
Programforvaltning
Vi utformer, lanserer og driver bug bounty-programmet ditt eller programmet ditt for sårbarhetsrapportering: retningslinjer, omfang, triage og kommunikasjon med sikkerhetsforskere.
Passer for
Selskaper som åpner seg for eksterne sikkerhetsforskere.
Pris
Et honorar for oppstart og et månedlig honorar for forvaltning.
07Bug bounty
En plattform der det betales offisielt for sårbarheter
Eiere publiserer programmer og oppgir belønningen. Sikkerhetsforskere rapporterer sårbarheter gjennom oss og får betalt av oss. Vi verifiserer eieren, undersøker hver rapport og har ansvaret for pengene.
Et program publiseres først etter at eieren har bevist eierskapet til systemet med dokumenter.
Eieren fastsetter belønningene. Sikkerhetsforskeren får hele belønningen.
Provisjonen vår er 20 % av hver belønning og betales av eieren.
Hver rapport undersøkes, gjenskapes og vurderes etter CVSS 4.0-skalaen.
En rapport blir mellom sikkerhetsforskeren, eieren og oss.
08Standarder
Metoder du kan slå opp
Vi arbeider etter offentlige standarder, oppgir versjonen og knytter funnene til dem. Å følge en standard er ikke det samme som å være sertifisert etter den: En sertifisering står på dette nettstedet bare sammen med en lenke der den kan verifiseres.
Ja. Selve sjekken koster ingenting, og det gjør heller ikke rapporten når vi ikke finner sårbarheter. Når vi finner sårbarheter, får du vite antallet og alvorlighetsgraden gratis, og du bestemmer om du vil kjøpe rapporten; prisen avhenger av antallet funn og alvorlighetsgraden til funnene.
Er penetrasjonstesting lovlig?
Ja, når eieren av systemet har gitt skriftlig tillatelse. Uten tillatelse er de samme handlingene straffbare i de fleste jurisdiksjoner. Derfor starter hvert oppdrag med en skriftlig tillatelse og et omfang, og derfor verifiserer vi at den som signerer, har fullmakt til å signere.
Hva er forskjellen på en penetrasjonstest og bug bounty?
En penetrasjonstest er en tidsavgrenset vurdering som et innleid team utfører innenfor et avtalt omfang, med en rapport som dekker alt som ble testet. Bug bounty er et program uten sluttdato, der uavhengige sikkerhetsforskere belønnes for gyldige funn. Det første gir trygghet på et gitt tidspunkt, det andre gir kontinuerlig oppdagelse. Modne virksomheter bruker begge deler.
Vil testingen forstyrre produksjonen?
Reglene for gjennomføring fastsetter hva som er tillatt: testvinduer, forespørselsfrekvens, utelukkede teknikker og stoppkriterier. Testing med tjenestenektangrep utføres aldri med mindre du ber om det skriftlig. Hvis vi ser tegn til ustabilitet, stopper vi og ringer kontaktpersonen din.
Hvordan fastsettes prisen?
Ut fra hvor stort og komplekst omfanget er, hvor dypt vi tester og hvilken tilgang vi får. Etter avklaringen av omfanget får du en fast pris; den endres bare hvis omfanget endres.
Hva skjer med dataene våre?
Vi samler inn det minimum av bevis som trengs for å bevise et funn. Arbeidsdata lagres kryptert og destrueres 30 dager etter at oppdraget er avsluttet. Rapporter leveres gjennom en sikker kanal som er avtalt på forhånd.
Signerer dere en konfidensialitetsavtale (NDA)?
Ja. NDA-en signeres før du deler noen detaljer om systemene dine.