Zewnętrzna powierzchnia ataku
Sprawdź, do czego dotrze atakujący. Badamy dostępne systemy, usługi i konfiguracje pod kątem możliwych do wykorzystania słabości.
- Domeny i dostępne usługi
- Niebezpieczne konfiguracje
- Niezamierzone ujawnienie danych
Testy bezpieczeństwa. Realna odpowiedzialność.
Znajdź luki.
Zanim inni
je wykorzystają.
Nasz własny produkt oparty na AI testuje Twoje aplikacje webowe, API i powierzchnię ataku w kilka dni, a nie tygodni.
Każda podatność jest potwierdzona dowodami.
Płacisz tylko za to, co znajdziemy.
Brak podatności? Brak opłat.
Od podpisania umowy do raportu: maksymalnie tydzień. 90% raportów dostarczamy w ciągu jednego dnia.
Testy bezpieczeństwa rozliczane za wynik.
Opłata za potwierdzoną podatność.
Poziom zagrożenia określa cenę.
Twoja powierzchnia ataku.
Z każdej perspektywy.
Od zasobów dostępnych w Internecie po systemy wymagające logowania. Sprawdzamy rzeczywiste możliwości wykorzystania Twoich systemów.
Publiczne API
Testujemy granice aplikacji i sprawdzamy, czy publiczne endpointy chronią dane i logikę biznesową.
- Uwierzytelnianie i autoryzacja
- Wstrzykiwanie i obsługa danych wejściowych
- Nadużycia logiki biznesowej
Wewnętrzne API
Badamy więcej niż perymetr sieci: zaufanie między usługami i rzeczywiste uprawnienia zalogowanych użytkowników.
- Role i granice dostępu
- Eskalacja uprawnień
- Ujawnianie danych między usługami
Inny sposób płacenia za bezpieczeństwo
Każda podatność.
Jasna cena.
Płacisz stałą cenę za każdą potwierdzoną podatność, zależną od poziomu zagrożenia, i nigdy więcej niż limit uzgodniony dla Twojego zakresu.
Ustalmy zakres0
Brak podatności. Brak opłat.
Jeśli nie znajdziemy podatności,
nie płacisz za audyt.
Potwierdzone wynikiCena według zagrożenia
Niskie50 USDŚrednie150 USDWysokie400 USDKrytyczne700 USD
Ocena CVSS. Ustalenia informacyjne i zalecenia dotyczące utwardzania są bezpłatne. Dowody dla każdej podatności.
Limity kosztów według zakresu
Limit zależy od tego, co testujemy, a nie od wielkości firmy. Zakres i limit uzgadniamy na piśmie przed rozpoczęciem testów.
Kwoty w dolarach amerykańskich (USD). Ceny i limity nie obejmują należnych podatków. Podatki zostaną wykazane oddzielnie na fakturze.
Uzgodniony limit to maksymalna opłata za audyt przed należnymi podatkami. Jeśli wartość wyników go przekroczy, wszystkie dodatkowe potwierdzone podatności nadal znajdą się w raporcie bez dodatkowych opłat.
- Jedna aplikacja webowa lub API (do ok. 50 endpointów, 2 role użytkowników)
- Do 1 500 USD
- Do 3 aplikacji lub API albo do ok. 200 endpointów
- Do 4 000 USD
- Większy zakres
- Indywidualny limit, od 8 000 USD
Przykład: test jednego API wykrywa 1 podatność wysoką, 3 średnie i 5 niskich. Faktura wynosi 400 + 450 + 250 = 1 100 USD, poniżej limitu 1 500 USD. Jeśli ten sam test niczego nie znajdzie, nic nie płacisz.
Wynik, który
pozwala działać.
To rzeczywista, zanonimizowana ocena klienta. Identyfikatory i wrażliwe dowody zostały ukryte, a niektóre wyniki usunięte dla zachowania poufności.
Pobierz przykładowy raport (PDF)
31 stron · Po angielsku · Zanonimizowany
Ustalenie z raportu CRIT-01Krytyczne · CVSS 9.3
Błędna konfiguracja CORS z poświadczeniami
Aplikacja webowa / Kontrola dostępu · CWE-942
Obca strona mogłaby odczytać dane Twoich użytkowników.
Serwer odzwierciedla dowolne źródło żądania (Origin) i zezwala na poświadczenia. Jeśli zalogowany użytkownik otworzy złośliwą stronę, może ona odczytać wrażliwe odpowiedzi wymagające uwierzytelnienia, o ile przeglądarka wyśle poświadczenia użytkownika, a endpoint przyjmie żądanie.
Dowolne źródło odzwierciedlone, poświadczenia dozwolone.
Raport dokumentuje odpowiedzi, które zwracają źródło żądania w nagłówku Access-Control-Allow-Origin wraz z Access-Control-Allow-Credentials: true.
Odpowiedzi klienta i dowody odtworzenia ukryto w pliku PDF. Strona podsumowuje ocenę i nie wykonuje testu na żywo.
Same nagłówki nie dowodzą wykorzystania: o tym, czy dane można odczytać, decydują polityka ciasteczek, uwierzytelnianie endpointu i tokeny żądań, a zredagowany (zaczerniony) przykład tego nie pokazuje.
Zezwalaj tylko na własne źródła.
Zwracaj Access-Control-Allow-Origin tylko dla jawnej listy własnych domen i usuń Access-Control-Allow-Credentials, chyba że potrzebuje go Twój własny frontend. Sprawdź wtyczki, które same dodają nagłówki CORS. Następnie powtórz żądanie z dowolnym Origin: odpowiedź nie może zawierać Access-Control-Allow-Origin.
Od pierwszej rozmowy
do konkretnej poprawki.
Jasno określone zlecenie dostarcza zespołowi dowodów i wskazówek do działania.
Uzgodnij zakres
Wspólnie ustalamy systemy, dostępy, granice testów i limit kosztów.
Przetestuj. Potem potwierdź.
Badamy słabości i potwierdzamy je odtwarzalnymi dowodami oraz rzeczywistym wpływem.
Wiedz, co poprawić
Otrzymasz raport z priorytetami, krokami odtworzenia i praktycznymi zaleceniami.
Kilka rzeczy,
które warto wiedzieć.
Co liczy się jako wynik?
Potwierdzona podatność z odtwarzalnymi dowodami i oceną wpływu. Stosujemy CVSS; kryteria akceptacji uzgadniamy przed audytem.
Ile kosztuje audyt?
Płacisz stałą cenę za każdą potwierdzoną podatność: krytyczna 700 USD, wysoka 400 USD, średnia 150 USD, niska 50 USD. Ustalenia informacyjne są bezpłatne. Suma nigdy nie przekracza limitu dla Twojego zakresu: 1 500 USD za jedną aplikację lub API, 4 000 USD za maksymalnie trzy, indywidualny limit dla większych zakresów. Potwierdzone podatności powyżej limitu i tak trafiają do raportu bez dodatkowej opłaty. Jeśli nie znajdziemy podatności, nic nie płacisz.
Czy korzystacie z AI?
Tak. Nasz własny produkt oparty na dużych modelach językowych przyspiesza testy. Każda podatność jest odtwarzana i potwierdzana dowodami, zanim trafi do raportu, a z dostępem do kodu źródłowego możemy też naprawić to, co znajdziemy.
Czy testujecie systemy wymagające logowania?
Tak. Testujemy wewnętrzne i uwierzytelnione API. Konta, role i dostępy uzgadniamy podczas ustalania zakresu.
Jak długo trwają testy?
Od podpisania umowy do raportu: maksymalnie tydzień. 90% raportów dostarczamy w ciągu jednego dnia.
Co otrzyma mój zespół?
Raport z potwierdzonymi podatnościami, zagrożeniem, wpływem, krokami odtworzenia i zaleceniami naprawy.
Przyjrzyjmy się bliżej
Kolejny krok
do bezpieczeństwa zaczyna się tutaj.
Opowiedz nam o swoim projekcie.
Pomożemy ustalić, co przetestować.