Testy bezpieczeństwa · Wyłącznie za zgodą właściciela
Czy na Twoją stronę można się włamać? Sprawdzimy to bezpłatnie.
Jeśli nie znajdziemy problemów, raport również otrzymujesz bezpłatnie. Za raport płacisz tylko wtedy, gdy znajdziemy problemy, a jego cena zależy od tego, ile ich jest i jak są poważne. Testujemy strony internetowe, aplikacje, infrastrukturę, systemy AI i smart kontrakty tak, jak zrobiłby to prawdziwy atakujący.
Sprawdzenie Twojej strony nic nie kosztuje. Jeśli nie znajdziemy podatności, raport również jest bezpłatny. Za raport płacisz tylko wtedy, gdy znajdziemy podatności, a jego cena zależy od ich liczby i istotności.
01
Podajesz adres
I potwierdzasz, że strona należy do Ciebie. Przed sprawdzeniem właściciel podpisuje upoważnienie z adresem strony i datami sprawdzenia.
02
Sprawdzamy stronę
Z zewnątrz, tak jak widzi ją atakujący, w ciągu 1–5 dni roboczych od podpisania upoważnienia. Bez działań destrukcyjnych i bez obciążania serwera.
03
Otrzymujesz wynik
Brak problemów: bezpłatny raport. Znaleziono problemy: ich liczba, istotność i cena raportu. Raport otrzymujesz od razu po zapłacie; retest po wdrożeniu poprawek jest bezpłatny.
Bezpieczeństwo ofensywne jest usługą tylko wtedy, gdy odbywa się z upoważnienia. Te zasady obowiązują w każdym projekcie i przy każdym zgłoszeniu bug bounty, bez wyjątków.
01
Najpierw pisemne upoważnienie
Testy zaczynamy, gdy właściciel zasobów podpisze upoważnienie i zakres. Sprawdzamy, czy osoba podpisująca ma do tego prawo.
02
Zakres to granica
Testujemy to, co zostało wymienione, i nic poza tym. Systemy podmiotów trzecich testujemy wyłącznie za zgodą ich operatora.
03
Tylko oficjalne programy
W bug bounty działamy wyłącznie w ramach oficjalnych programów na uznanych platformach i co do joty przestrzegamy zasad każdego programu.
04
Dowody zamiast opinii
O znalezisku informujemy dopiero wtedy, gdy uda się je odtworzyć. Każde ma dowód, opis wpływu, wektor CVSS 4.0 i zalecenia naprawcze.
05
Minimalna ingerencja
Wpływ wykazujemy możliwie najmniej inwazyjnym działaniem, trzymamy się z dala od danych produkcyjnych i przerywamy pracę, gdy spełniony zostanie warunek przerwania testów.
06
Domyślnie poufnie
Znaleziska należą do klienta. Niczego nie ujawniamy ani nie publikujemy bez pisemnej zgody.
03Usługi
Co testujemy
Od pojedynczej aplikacji webowej po pełną symulację ataków. Każda usługa ma określoną metodę, określony rezultat i cenę ustaloną przed rozpoczęciem prac.
Ocena bezpieczeństwa środowisk AWS, Azure, Google Cloud i Kubernetes: tożsamości, ekspozycja sieciowa, magazyny danych i ścieżki od pierwszego przyczółka do pełnej kontroli.
Ukierunkowana na cel symulacja prawdziwego przeciwnika, wymierzona w ludzi, procesy i technologię, która sprawdza, czy atak zostałby wykryty i zatrzymany.
Kontrolowane kampanie phishingowe, telefoniczne i w komunikatorach, które mierzą reakcję ludzi i procesów, z wynikami według grup, nigdy według nazwisk.
Testy z pozycji atakującego dla aplikacji LLM, agentów AI i integracji MCP: prompt injection, wycieki danych, nadużycie narzędzi i wyjście poza zamierzone zadanie.
Zaprojektowanie, uruchomienie i prowadzenie Twojego programu bug bounty: polityka, zakres, tabela nagród, triage (wstępna ocena zgłoszeń) i komunikacja z badaczami.
Testy penetracyjne, których zakres i dokumentacja pozwalają użyć ich jako dowodu na potrzeby PCI DSS, SOC 2, ISO/IEC 27001, DORA i NIS2.
Programy i kontrola
04Przebieg współpracy
Od zapytania do zweryfikowanej poprawki
Tak przebiega płatny projekt. Każdy krok kończy się dokumentem, który zostaje u Ciebie.
01
Zapytanie
Opisujesz systemy i cel. Menedżer odpowiada w ciągu 1 dnia roboczego.
Numer referencyjny zapytania
02
Ustalenie zakresu
Uzgadniamy zasoby, wyłączenia, okna testowe, konta i kontakty. Otrzymujesz ofertę z metodyką i stałą ceną.
Oferta
03
Upoważnienie
Podpisujemy umowę o zachowaniu poufności (NDA), umowę i pisemne upoważnienie. Sprawdzamy zasady testowania u Twoich dostawców hostingu i chmury.
Pisemne upoważnienie, zasady prowadzenia testów
04
Testy
Testy ręczne wspierane narzędziami. O znaleziskach o krytycznej i wysokiej istotności informujemy w ciągu 24 godzin od potwierdzenia, nie czekając na raport końcowy.
Pilne zawiadomienia o znaleziskach
05
Raport i omówienie wyników
Podsumowanie dla kierownictwa, szczegóły techniczne dla inżynierów i rozmowa, na której omawiamy wyniki z jednymi i drugimi.
Raport
06
Retest
Po wdrożeniu poprawek wykonujemy retest każdego znaleziska w ciągu 60 dni od przekazania raportu i wystawiamy poświadczenie wykonania testów.
Raport jest produktem. Zanim do Ciebie trafi, sprawdza go drugi specjalista.
Podsumowanie dla kierownictwa
Ryzyko w języku biznesu, stan systemu i priorytety na dwóch stronach.
Zakres i metoda
Co testowaliśmy, kiedy, skąd, z jakich kont i co pozostało poza zakresem.
Znaleziska
Osobny wpis dla każdego problemu: opis, dowody, kroki odtworzenia, wpływ, wektor CVSS 4.0, CWE, poprawka.
Ścieżki ataku
Jak pojedyncze słabości łączą się w przejęcie systemu, krok po kroku.
Plan naprawczy
Poprawki uporządkowane według ryzyka, które usuwają, i nakładu pracy, jakiego wymagają.
Wyniki retestu
Status każdego znaleziska po poprawce oraz poświadczenie wykonania testów.
06Modele współpracy
Jak możesz z nami współpracować
Model zależy od dojrzałości systemu i tempa, w jakim pojawiają się jego nowe wersje.
Bezpłatne sprawdzenie strony
Sprawdzenie jednej strony z zewnątrz. Dowiadujesz się, czy jest podatna na typowe ataki, zanim cokolwiek wydasz.
Zastosowanie
Pierwsze spojrzenie na bezpieczeństwo publicznej strony.
Rozliczenie
Bezpłatnie. Za raport płacisz tylko wtedy, gdy znajdziemy podatności; jego cena zależy od ich liczby i istotności.
Ocena bezpieczeństwa o stałym zakresie
Określony zestaw zasobów testujemy jednorazowo, z raportem i retestem.
Zastosowanie
Wydania, audyty, due diligence, terminy wynikające z wymogów zgodności.
Rozliczenie
Stała cena za uzgodniony zakres.
Testy ciągłe
Stały zespół testuje każdą istotną zmianę i według harmonogramu ponownie bada styk z internetem.
Zastosowanie
Produkty, które co tydzień wydają nowe wersje.
Rozliczenie
Miesięczna opłata za uzgodniony wolumen testów.
Płatność za wyniki
Prywatne, ograniczone w czasie poszukiwanie podatności przez nasz zespół. Płacisz za potwierdzone podatności według tabeli nagród uzgodnionej z góry.
Zastosowanie
Dojrzałe systemy, które były już testowane.
Rozliczenie
Nagroda za każde potwierdzone znalezisko, z limitem budżetu.
Zarządzanie programem
Projektujemy, uruchamiamy i prowadzimy Twój program bug bounty lub program ujawniania podatności: polityka, zakres, triage (wstępna ocena zgłoszeń) i komunikacja z badaczami.
Zastosowanie
Firmy, które otwierają się na zewnętrznych badaczy.
Rozliczenie
Opłata za uruchomienie i miesięczna opłata za zarządzanie.
07Bug bounty
Platforma, na której za podatności płaci się oficjalnie
Właściciele publikują programy i wyznaczają nagrodę. Badacze zgłaszają podatności przez nas i od nas otrzymują wypłaty. Weryfikujemy właściciela, rozpatrujemy każde zgłoszenie i odpowiadamy za pieniądze.
Program publikujemy dopiero wtedy, gdy jego właściciel wykaże dokumentami, że system należy do niego.
Nagrody ustala właściciel. Badacz otrzymuje całą nagrodę.
Nasza prowizja to 20% każdej nagrody i płaci ją właściciel.
Każde zgłoszenie rozpatrujemy, odtwarzamy i oceniamy w skali CVSS 4.0.
Zgłoszenie pozostaje między badaczem, właścicielem i nami.
08Standardy
Metody, które możesz sprawdzić
Pracujemy według publicznych standardów, podajemy ich wersje i przypisujemy do nich znaleziska. Stosowanie standardu to nie to samo co certyfikacja zgodności z nim: certyfikat podajemy na tej stronie tylko razem z linkiem, pod którym można go zweryfikować.
Tak. Samo sprawdzenie nic nie kosztuje, podobnie jak raport, jeśli nie znajdziemy podatności. Jeśli znajdziemy podatności, bezpłatnie poznajesz ich liczbę i istotność i decydujesz, czy kupić raport; jego cena zależy od liczby i istotności znalezisk.
Czy testy penetracyjne są legalne?
Tak, jeśli właściciel systemu udzielił pisemnego upoważnienia do ich przeprowadzenia. Bez upoważnienia te same działania w większości jurysdykcji są przestępstwem. Dlatego każdy projekt zaczyna się od pisemnego upoważnienia i zakresu, a my sprawdzamy, czy osoba podpisująca ma prawo je podpisać.
Czym test penetracyjny różni się od bug bounty?
Test penetracyjny to ograniczona w czasie ocena bezpieczeństwa uzgodnionego zakresu, którą wykonuje zespół działający na podstawie umowy, z raportem obejmującym wszystko, co przetestowano. Bug bounty to program bez określonego terminu zakończenia, w którym niezależni badacze otrzymują nagrody za zasadne zgłoszenia. Pierwszy daje pewność co do stanu w danym momencie, drugi pozwala stale wykrywać nowe podatności. Dojrzałe organizacje korzystają z obu.
Czy testy zakłócą działanie środowiska produkcyjnego?
Zasady prowadzenia testów określają, co jest dozwolone: okna testowe, częstotliwość żądań, wyłączone techniki i warunki przerwania testów. Nigdy nie testujemy odporności na ataki typu odmowa usługi (DoS), chyba że poprosisz o to na piśmie. Jeśli zauważymy niestabilność, przerywamy testy i dzwonimy do Twojej osoby kontaktowej.
Od czego zależy cena?
Od wielkości i złożoności zakresu, głębokości testów i dostępu, jaki otrzymamy. Po ustaleniu zakresu otrzymujesz stałą cenę; zmienia się ona tylko wtedy, gdy zmienia się zakres.
Co dzieje się z naszymi danymi?
Zbieramy minimum dowodów potrzebnych do wykazania znaleziska. Dane robocze przechowujemy w postaci zaszyfrowanej i niszczymy 30 dni po zamknięciu projektu. Raporty przekazujemy bezpiecznym kanałem uzgodnionym z wyprzedzeniem.
Czy podpisujecie NDA?
Tak. NDA podpisujemy, zanim przekażesz nam jakiekolwiek szczegóły dotyczące Twoich systemów.