Większość właścicieli nie wie, czy na ich stronę można się włamać, dopóki to się nie stanie. Test penetracyjny odpowiada na to pytanie dogłębnie, ale to projekt z budżetem. Bezpłatne sprawdzenie to pierwszy krok: pokazuje, czy atakujący, który nic o Tobie nie wie, znajdzie drogę do środka.
Patrzymy na stronę z zewnątrz, bez kont i bez dostępu do Twojego serwera, i sprawdzamy to, co jest widoczne i osiągalne z internetu. Jeśli niczego nie znajdziemy, bezpłatnie otrzymujesz raport, który to stwierdza. Jeśli znajdziemy podatności, informujemy Cię, ile ich jest i jak są poważne, a Ty decydujesz, czy kupić raport ze szczegółami i sposobami naprawy.
01Zakres
Co testujemy
HTTPS i TLS: wersje protokołów, certyfikaty, przekierowania
Nagłówki bezpieczeństwa i atrybuty plików cookie
Publicznie dostępne pliki i interfejsy: kopie zapasowe, pliki konfiguracyjne, katalogi systemów kontroli wersji, panele administracyjne, strony debugowania
System zarządzania treścią, wtyczki, frameworki i oprogramowanie serwera ze znanymi podatnościami
Publiczne formularze i parametry: wstrzykiwanie kodu i cross-site scripting, testowane nieszkodliwymi próbami
Strony logowania, rejestracji i odzyskiwania hasła: ochrona przed odgadywaniem haseł i enumeracją kont
Informacje ujawniane przez komunikaty o błędach, mapy źródeł i metadane
Rekordy domeny chroniące przed fałszywymi wiadomościami e-mail: SPF, DKIM, DMARC
02Podejście
Jak przebiega praca
01
Zapytanie i upoważnienie
Wskazujesz stronę i potwierdzasz, że należy do Ciebie lub że działasz w imieniu jej właściciela. Przed rozpoczęciem sprawdzenia właściciel lub osoba, którą właściciel upoważnił, podpisuje upoważnienie, w którym wskazano adres i daty sprawdzenia.
02
Sprawdzenie
Narzędzia tworzą mapę strony, a specjaliści ręcznie weryfikują każde podejrzenie i odrzucają fałszywe alarmy. Nie wykonujemy działań destrukcyjnych ani testów obciążeniowych i nie próbujemy odczytać danych osób odwiedzających Twoją stronę.
03
Wynik
Wynik otrzymujesz w ciągu 1–5 dni roboczych od podpisania upoważnienia. Brak podatności: raport jest bezpłatny. Znaleziono podatności: zawiadomienie z ich liczbą, istotnością w skali CVSS 4.0 i ceną raportu.
04
Raport i retest
Raport otrzymujesz od razu po zapłacie: każde znalezisko z dowodami, krokami odtworzenia i sposobem naprawy. Gdy poprawki zostaną wdrożone, bezpłatnie wykonujemy retest każdego znaleziska.
Klasa słabości leżącej u podstaw każdego znaleziska.
The MITRE Corporation
06Pytania
Pytania o tę usługę
Dlaczego sprawdzenie jest bezpłatne?
Bo płaci się nam za wynik. Strona bez podatności nic właściciela nie kosztuje, a strona z podatnościami daje nam raport, który warto kupić. To zasada bug bounty zastosowana do Twojej strony za Twoją zgodą.
A jeśli nie zdecydujemy się na zakup raportu?
Wtedy nie masz wobec nas żadnych zobowiązań. To, co znaleźliśmy, pozostaje poufne: nikomu tego nie przekazujemy i niczego nie publikujemy.
Od czego zależy cena raportu?
Od liczby znalezisk i ich istotności w skali CVSS 4.0. Cenę podajemy w zawiadomieniu, zanim podejmiesz decyzję, i jest ona ważna przez 30 dni.
Czy potrzebujecie dostępu do naszego serwera?
Nie. Sprawdzenie odbywa się z zewnątrz, tak jak stronę widzi odwiedzający. Testy z użyciem kont i ról to osobna usługa: testy penetracyjne aplikacji webowych.
Czy sprawdzenie może zaszkodzić stronie?
Sprawdzenie nie obejmuje działań destrukcyjnych ani testów obciążeniowych. Jeśli strona zacznie działać niestabilnie, przerywamy pracę i kontaktujemy się z Tobą.