Проверка безопасности · Только с разрешения владельца
Можно ли взломать ваш сайт? Проверим бесплатно.
Если проблем не найдено, отчёт вы тоже получите бесплатно. Отчёт оплачивается, только если мы нашли проблемы, и его цена зависит от того, сколько их и насколько они серьёзны. Проверяем сайты, приложения, инфраструктуру, AI-системы и смарт-контракты так, как это сделал бы настоящий злоумышленник.
Проверка вашего сайта ничего не стоит. Если уязвимостей не найдено, отчёт тоже бесплатный. Отчёт оплачивается, только когда мы нашли уязвимости, и его цена зависит от их числа и критичности.
01
Вы присылаете адрес
И подтверждаете, что сайт ваш. Перед проверкой владелец подписывает разрешение с адресом и датами.
02
Мы проверяем сайт
Снаружи — так, как его видит злоумышленник, в течение 1–5 рабочих дней после подписания разрешения. Без разрушающих действий и без нагрузки на сервер.
03
Вы получаете результат
Проблем нет — бесплатный отчёт. Проблемы найдены — их число, критичность и цена отчёта. Отчёт приходит сразу после оплаты; повторная проверка после исправлений бесплатна.
Наступательная безопасность остаётся услугой, только пока на неё есть разрешение. Эти правила действуют в каждом проекте и в каждом отчёте bug bounty — без исключений.
01
Сначала письменное разрешение
Работы начинаются после того, как владелец систем подписал разрешение и объём работ. Мы проверяем, что подписавший вправе это делать.
02
Объём работ — это граница
Мы работаем только с тем, что перечислено. Системы третьих лиц тестируются исключительно с согласия их оператора.
03
Только официальные программы
В bug bounty мы работаем только в официальных программах на признанных площадках и соблюдаем правила каждой программы дословно.
04
Доказательства вместо мнений
Находка попадает в отчёт после воспроизведения. К ней прилагаются доказательство, описание последствий, вектор CVSS 4.0 и шаги по исправлению.
05
Минимальное воздействие
Мы доказываем последствия наименее инвазивным способом, не трогаем рабочие данные и останавливаемся при наступлении стоп-условия.
06
Конфиденциальность по умолчанию
Результаты принадлежат заказчику. Ничто не раскрывается и не публикуется без письменного согласия.
03Услуги
Что мы проверяем
От одного веб-приложения до полной имитации действий злоумышленника. У каждой услуги определены метод, результат и стоимость, зафиксированная до начала работ.
Аудит сред AWS, Azure, Google Cloud и Kubernetes: идентификация, сетевая доступность, хранилища данных и пути от первой точки опоры к полному контролю.
Контролируемые фишинговые рассылки, звонки и кампании в мессенджерах, которые измеряют, как реагируют люди и процессы; результаты — по группам и никогда по именам.
Состязательное тестирование LLM-приложений, агентов и интеграций MCP: prompt injection, утечки данных, злоупотребление инструментами, выход за рамки задачи.
Пентест, объём и документы которого рассчитаны на использование в качестве доказательства для PCI DSS, SOC 2, ISO/IEC 27001, DORA и NIS2.
Программы и контроль
04Порядок работы
От заявки до проверенного исправления
Так проходит платный проект. Каждый шаг заканчивается документом, который остаётся у вас.
01
Заявка
Вы описываете системы и задачу. Менеджер отвечает в течение 1 рабочего дня.
Номер заявки
02
Согласование объёма
Согласуем объекты, исключения, окна тестирования, учётные записи и контакты. Вы получаете предложение с методологией и фиксированной стоимостью.
Коммерческое предложение
03
Разрешение
Подписываются NDA, договор и письмо-разрешение. Проверяются правила тестирования вашего хостинга и облачных провайдеров.
Письмо-разрешение, правила проведения работ
04
Тестирование
Ручная работа с поддержкой инструментов. О критических и высоких находках сообщаем в течение 24 часов после подтверждения, не дожидаясь итогового отчёта.
Срочные уведомления о находках
05
Отчёт и разбор
Резюме для руководства, технические детали для инженеров и созвон с разбором для тех и других.
Отчёт
06
Повторная проверка
После внедрения исправлений перепроверяем каждую находку в течение 60 дней после передачи отчёта и выдаём письмо-подтверждение.
Отчёт — это и есть продукт. Прежде чем попасть к вам, он проходит проверку вторым специалистом.
Резюме для руководства
Риски на языке бизнеса, состояние системы и приоритеты — на двух страницах.
Объём и метод
Что проверялось, когда, откуда, под какими учётными записями и что осталось за рамками.
Находки
Отдельная запись на каждую проблему: описание, доказательства, воспроизведение, последствия, вектор CVSS 4.0, CWE, исправление.
Цепочки атак
Как отдельные недостатки складываются в компрометацию — шаг за шагом.
План исправлений
Исправления в порядке снижения риска и с оценкой трудоёмкости.
Результаты повторной проверки
Статус каждой находки после исправления и письмо-подтверждение.
06Модели сотрудничества
Форматы работы
Формат зависит от зрелости системы и частоты её релизов.
Бесплатная проверка сайта
Внешняя проверка одного сайта. Вы узнаёте, открыт ли он для распространённых атак, прежде чем что-либо потратить.
Подходит для
Первый взгляд на безопасность публичного сайта.
Оплата
Бесплатно. Отчёт оплачивается, только если найдены уязвимости; его цена зависит от их числа и критичности.
Проект с фиксированным объёмом
Согласованный набор объектов проверяется один раз — с отчётом и повторной проверкой.
Подходит для
Релизы, аудиты, due diligence, сроки регулятора.
Оплата
Фиксированная стоимость за согласованный объём.
Непрерывное тестирование
Постоянная команда проверяет каждое значимое изменение и по графику пересматривает периметр.
Подходит для
Продукты с еженедельными релизами.
Оплата
Ежемесячная плата за согласованный объём тестирования.
Оплата за результат
Закрытый поиск уязвимостей нашей командой в ограниченный срок. Вы платите за подтверждённые уязвимости по заранее согласованной таблице вознаграждений.
Подходит для
Зрелые системы, которые уже проходили тестирование.
Оплата
Вознаграждение за подтверждённую находку в пределах бюджета.
Управление программой
Проектируем, запускаем и ведём вашу программу bug bounty или раскрытия уязвимостей: политика, объём, триаж, общение с исследователями.
Подходит для
Компании, которые открываются внешним исследователям.
Оплата
Плата за запуск и ежемесячное сопровождение.
07Bug bounty
Площадка, где за уязвимости платят официально
Владельцы публикуют программы и называют вознаграждение. Исследователи сообщают об уязвимостях через нас и получают оплату от нас. Мы проверяем владельца, рассматриваем каждое сообщение и отвечаем за деньги.
Программа публикуется только после того, как владелец документами подтвердил, что система принадлежит ему.
Вознаграждения назначает владелец. Исследователь получает всё вознаграждение.
Наша комиссия — 20 % от каждого вознаграждения, её платит владелец.
Каждое сообщение рассматривается, воспроизводится и оценивается по шкале CVSS 4.0.
Сообщение остаётся между исследователем, владельцем и нами.
08Стандарты
Методики, которые можно проверить
Мы работаем по открытым стандартам, называем версию и сопоставляем с ними находки. Следовать стандарту и быть сертифицированным по нему — разные вещи: сертификат появляется на этом сайте только вместе со ссылкой, по которой его можно проверить.
Да. Сама проверка ничего не стоит, как и отчёт, если уязвимостей не найдено. Если мы нашли уязвимости, вы бесплатно узнаёте их число и критичность и решаете, покупать ли отчёт; его цена зависит от числа и критичности находок.
Тестирование на проникновение — это законно?
Да, если владелец системы дал на это письменное разрешение. Без разрешения те же действия в большинстве юрисдикций являются уголовным преступлением. Поэтому каждый проект начинается с письма-разрешения и объёма работ, а мы проверяем полномочия того, кто их подписывает.
Чем пентест отличается от bug bounty?
Пентест — это ограниченная по времени проверка согласованного объёма силами нанятой команды, с отчётом обо всём, что было проверено. Bug bounty — бессрочная программа, в которой независимые исследователи получают вознаграждение за подтверждённые находки. Первое даёт уверенность на определённую дату, второе — непрерывное обнаружение. Зрелые организации используют оба подхода.
Тестирование нарушит работу наших систем?
Допустимое определяют правила проведения работ: окна тестирования, частота запросов, исключённые техники и стоп-условия. Тесты на отказ в обслуживании не проводятся, если вы не запросили их письменно. При признаках нестабильности мы останавливаемся и звоним вашему контактному лицу.
От чего зависит стоимость?
От размера и сложности объёма, глубины тестирования и предоставленного доступа. После согласования объёма вы получаете фиксированную стоимость; она меняется только вместе с объёмом.
Что происходит с нашими данными?
Мы собираем минимум доказательств, необходимый для подтверждения находки. Рабочие данные хранятся в зашифрованном виде и уничтожаются через 30 дней после закрытия проекта. Отчёты передаются по заранее согласованному защищённому каналу.
Вы подписываете NDA?
Да. NDA подписывается до того, как вы сообщите какие-либо детали о своих системах.