Большинство владельцев не знают, можно ли взломать их сайт, пока это не случится. Тест на проникновение отвечает на этот вопрос глубоко, но это проект с бюджетом. Бесплатная проверка — первый шаг: она показывает, найдёт ли вход злоумышленник, который ничего о вас не знает.
Мы смотрим на сайт снаружи, без учётных записей и без доступа к вашему серверу, и проверяем то, что видно и доступно из интернета. Если ничего не нашли, вы бесплатно получаете отчёт, в котором это сказано. Если нашли уязвимости, мы сообщаем, сколько их и насколько они серьёзны, а вы решаете, покупать ли отчёт с деталями и исправлениями.
01Объём
Что мы проверяем
HTTPS и TLS: версии протоколов, сертификаты, перенаправления
Заголовки безопасности и атрибуты cookie
Открытые файлы и интерфейсы: резервные копии, файлы настроек, каталоги систем контроля версий, панели администрирования, отладочные страницы
Система управления сайтом, плагины, фреймворки и серверные программы с известными уязвимостями
Публичные формы и параметры: инъекции и межсайтовый скриптинг — безвредными проверочными запросами
Страницы входа, регистрации и восстановления пароля: защита от подбора и перебора
Сведения, которые выдают сообщения об ошибках, карты исходного кода и метаданные
Записи домена, защищающие от поддельных писем: SPF, DKIM, DMARC
02Подход
Как выполняется работа
01
Заявка и разрешение
Вы называете сайт и подтверждаете, что владеете им или действуете от имени владельца. До начала проверки владелец или уполномоченное им лицо подписывает разрешение, в котором указаны адрес и даты проверки.
02
Проверка
Инструменты строят карту сайта, специалисты вручную проверяют каждое подозрение и отбрасывают ложные срабатывания. Никаких разрушающих действий, нагрузочных тестов и попыток читать данные ваших посетителей.
03
Результат
Результат вы получаете в течение 1–5 рабочих дней после подписания разрешения. Уязвимостей нет — отчёт бесплатный. Уязвимости найдены — уведомление с их числом, критичностью по шкале CVSS 4.0 и ценой отчёта.
04
Отчёт и повторная проверка
Отчёт вы получаете сразу после оплаты: каждая находка с доказательствами, шагами воспроизведения и исправлением. Когда исправления внесены, мы бесплатно проводим повторную проверку каждой находки.
Класс недостатка, лежащего в основе каждой находки.
The MITRE Corporation
06Вопросы
Вопросы об этой услуге
Почему проверка бесплатная?
Потому что нам платят за результат. Сайт без уязвимостей ничего не стоит своему владельцу; сайт с уязвимостями даёт нам отчёт, который стоит купить. Это принцип bug bounty, применённый к вашему сайту с вашего разрешения.
А если мы решим не покупать отчёт?
Тогда вы ничего не должны. Найденное остаётся конфиденциальным: мы никому его не передаём и ничего не публикуем.
От чего зависит цена отчёта?
От числа находок и их критичности по шкале CVSS 4.0. Цена указана в уведомлении — до того, как вы принимаете решение, — и действует 30 дней.
Вам нужен доступ к нашему серверу?
Нет. Проверка выполняется снаружи — так, как сайт видит посетитель. Тестирование с учётными записями и ролями — отдельная услуга, пентест веб-приложений.
Проверка может навредить сайту?
В проверке нет разрушающих действий и нагрузочных тестов. Если сайт начинает работать нестабильно, мы останавливаемся и связываемся с вами.