Что можно проверить, прежде чем нам доверять

Наступательную безопасность покупают на доверии, а доверие должно опираться на то, что можно проверить. Здесь сказано, как мы работаем с разрешениями, вашими данными и собственной безопасностью, и прямо названо то, чего мы не заявляем.

01Разрешение

Без владельца ничего не тестируется

  • Проверка полномочий

    Мы проверяем, что подписавший разрешение вправе его подписывать: коммерческий регистр, принадлежность доменов, подтверждение через официальный канал.

  • Активы третьих лиц

    Системы хостинга, облачных и SaaS-провайдеров тестируются только в рамках опубликованных ими правил тестирования или с их согласия.

  • Запросы, которые мы отклоняем

    Тестирование систем, не принадлежащих заявителю, восстановление чужих учётных записей, слежка и ответные действия. Такие запросы отклоняются.

02Ваши данные

Как мы обращаемся с данными проекта

  • Минимальный сбор

    Мы фиксируем то, что доказывает находку, и ничего сверх этого. Персональные данные в доказательствах маскируются везде, где доказательство при этом сохраняется.

  • Шифрование

    Данные проекта хранятся в зашифрованном виде. Отчёты и учётные данные передаются по заранее согласованному защищённому каналу.

  • Доступ

    Доступ к данным проекта есть только у специалистов, назначенных на этот проект.

  • Срок хранения

    Рабочие данные уничтожаются через 30 дней после закрытия проекта. Отчёт хранится столько, сколько указано в договоре.

  • Конфиденциальность

    Заказчики не называются, отчёты не публикуются без письменного согласия.

  • Формы этого сайта

    Заявка, отправленная через форму этого сайта, хранится 365 дней и затем удаляется автоматически.

03Этот сайт

Безопасность сайта, который вы читаете

  • Без трекеров

    Никаких рекламных и аналитических cookie и никаких сторонних скриптов, кроме проверки форм от злоупотреблений.

  • Строгая политика содержимого

    Content Security Policy без встроенного кода, HSTS и заголовки изоляции в каждом ответе.

  • Проверка от злоупотреблений

    Формы защищает Cloudflare Turnstile. Он запускается, когда вы начинаете заполнять форму или отправляете её, не раньше.

  • Без хранения адресов

    IP-адрес того, кто отправляет форму, хранится только в виде хеша с ключом и используется только для ограничения частоты отправок.

  • security.txt

    Об уязвимостях этого сайта можно сообщить так, как описано в security.txt и в нашей политике раскрытия.

  • Работает без скриптов

    Любую страницу можно прочитать и пройти по навигации с отключённым JavaScript. Он нужен только формам.

04Политика AI

Как мы используем AI и как не используем

  • Проверяют люди

    Результаты работы инструментов и моделей проверяет специалист до того, как они попадут в отчёт.

  • Данные заказчика не уходят в публичные сервисы

    Код, данные и находки заказчика никогда не передаются в публичные AI-сервисы.

  • Без обучения на данных заказчика

    Ничто из проекта не используется для обучения моделей.

  • Прозрачность

    Если в проекте используются инструменты с AI, это указано в предложении.

05Официальные каналы

Как убедиться, что это мы

Компании по безопасности подделывают. Эти правила помогут отличить.

  • Мы отвечаем на заявки только с каналов, перечисленных на этой странице.
  • В первом ответе мы никогда не просим оплату, пароли или удалённый доступ.
  • Мы никогда не пишем компаниям без запроса с сообщением об уязвимости и требованием денег. Тот, кто делает это от нашего имени, — не мы.
  • У каждой заявки есть номер вида REQ-XXXX-XXXX. Называйте его и просите назвать его нас.

06Чего мы не заявляем

Никаких обещаний, которые нельзя выполнить

  • Мы не обещаем найти все уязвимости. Тест ограничен временем и объёмом, и в отчёте указано, что было охвачено.
  • Мы не обещаем, что проверенную систему невозможно взломать.
  • Мы не заявляем об одобрении со стороны OWASP, MITRE, NIST, FIRST или какой-либо площадки. Мы следуем их открытым стандартам.
  • Мы не показываем логотипы заказчиков, сертификатов и партнёров, которые нельзя проверить.

07Заявка

Расскажите, что нужно проверить

  • Проверка сайта — бесплатно
  • Ответ в течение 1 рабочего дня
  • NDA до передачи технических деталей
  • Фиксированная стоимость платных проектов
  • Без обязательств

Оставить заявку

Опишите системы и задачу. Менеджер ответит в течение 1 рабочего дня: задаст уточняющие вопросы и предложит следующий шаг.

Кому ответить

Ответим на этот адрес, если вы не выберете другой канал.

Индивидуальный предприниматель указывает своё имя.

Удобный канал связи
Что проверить
Интересующие услуги

Можно выбрать несколько.

Бесплатная проверка

Проверим ваш сайт бесплатно

Если проблем не найдено, отчёт вы тоже получите бесплатно. Отчёт оплачивается, только если мы нашли проблемы, и его цена зависит от их числа и критичности.

Условия бесплатной проверки безопасности сайта

Безопасность приложений

Инфраструктура и облако

Имитация атак

AI, Web3 и криптография

Программы и контроль

Безопасность приложений

Бесплатная проверка безопасности сайта

Смотрим на ваш сайт снаружи — так, как это делает злоумышленник, — и проверяем, можно ли в него проникнуть: слабые настройки, устаревшие программы, открытые файлы, небезопасные формы. Проверка бесплатная.

Безопасность приложений

Пентест веб-приложений

Пробуем взломать ваше веб-приложение так, как это сделал бы настоящий злоумышленник: войти в чужой аккаунт, прочитать данные других клиентов, изменить цены или заказы. Вы узнаёте о слабых местах раньше преступников.

Безопасность приложений

Тестирование безопасности API

API — это канал, по которому ваше приложение, сайт и партнёры обмениваются данными с вашими серверами. Проверяем, что через него нельзя прочитать или изменить чужие данные.

Безопасность приложений

Пентест мобильных приложений

Изучаем ваше приложение для iOS или Android и серверы, с которыми оно работает: что приложение хранит на телефоне, что из него можно извлечь и можно ли подменить его запросы.

Безопасность приложений

Аудит исходного кода

Наши специалисты читают исходный код вашего продукта и находят ошибки, которые ведут к взлому, — в том числе те, которых не видно снаружи.

Инфраструктура и облако

Аудит безопасности облака и Kubernetes

Проверяем, как настроено ваше облако (AWS, Azure, Google Cloud, Kubernetes): у кого к чему есть доступ, какие данные открыты в интернет и как далеко пройдёт злоумышленник после первой ошибки.

Инфраструктура и облако

Пентест инфраструктуры

Проверяем ваши серверы и офисную сеть снаружи и изнутри: сможет ли злоумышленник попасть внутрь и добраться до бухгалтерии, почты или резервных копий.

Инфраструктура и облако

Анализ внешней поверхности атаки

Находим всё, что ваша компания выставила в интернет, включая забытое: старые сайты, тестовые серверы, утёкшие пароли. И показываем, что из этого можно атаковать.

Инфраструктура и облако

Безопасность CI/CD и цепочки поставок

Проверяем путь вашего кода от разработчика до клиента: серверы сборки, сторонние библиотеки, ключи доступа. Кто контролирует этот путь, тот контролирует ваш продукт.

Имитация атак

Red Team

Полномасштабное учение. Наша команда играет роль настоящего злоумышленника с целью — например, добраться до данных клиентов, — а вы видите, заметит ли и остановит ли его ваша защита.

Имитация атак

Purple Team

Наши атакующие и ваши защитники работают вместе: мы показываем приём атаки, ваша команда проверяет, видит ли она его, и пробелы в мониторинге закрываются сразу.

Имитация атак

Проверка социальной инженерией

Проверяем не технику, а людей: фишинговые письма, звонки и сообщения, которыми злоумышленники выманивают пароли. Вы узнаёте, сколько сотрудников поддались бы на обман и чему их учить.

AI, Web3 и криптография

Тестирование безопасности AI и LLM

Если в вашем продукте есть чат-бот или другая модель ИИ, проверяем, можно ли уговорить её выдать конфиденциальные данные, нарушить собственные правила или действовать от чужого имени.

AI, Web3 и криптография

Аудит смарт-контрактов

Прежде чем смарт-контракт начнёт хранить деньги, ищем в его коде ошибки, которые позволят вывести или заблокировать средства. После публикации такие ошибки уже не исправить.

AI, Web3 и криптография

Криптографический аудит

Проверяем, как ваш продукт шифрует данные и защищает ключи: те ли алгоритмы выбраны и правильно ли они применены. Ошибка здесь делает шифрование бесполезным.

Программы и контроль

Управление программой Bug Bounty

Bug bounty — программа, в которой независимые исследователи ищут уязвимости в вашем продукте и получают вознаграждение за каждую найденную. Мы запускаем и ведём такую программу за вас.

Программы и контроль

Программа раскрытия уязвимостей (VDP)

Публичная страница и порядок, которые объясняют исследователям, как безопасно сообщить вам об уязвимости. Без них сообщения теряются или приходят в виде угроз. Мы настраиваем процесс и обрабатываем входящие сообщения.

Программы и контроль

Непрерывный пентест

Вместо одного теста в год проверяем каждое значимое изменение вашего продукта в течение всего года, чтобы новая уязвимость не ждала своего обнаружения месяцами.

Программы и контроль

Пентест для соответствия требованиям

Тест на проникновение, оформленный так, чтобы его отчёт принял аудитор, регулятор или крупный заказчик: PCI DSS, DORA, NIS2, ISO/IEC 27001, SOC 2.

Интересующие услуги

Пока не определились

Выберите этот вариант, если не знаете, какая услуга вам нужна. Опишите задачу своими словами, и специалист предложит услугу в ответе.

Домен или URL сайта либо основной системы, которую нужно проверить, например app.example.com.

Что нужно проверить, почему сейчас, есть ли срок или требование регулятора. Не указывайте пароли, ключи и детали уязвимостей.

Подтверждения

Не отправляйте через форму учётные данные, ключи и детали уязвимостей. Защищённый канал согласуем после первого ответа.

Автоматическая проверка от злоупотреблений