Testy bezpieczeństwa. Realna odpowiedzialność. # Znajdź luki. Zanim inni je wykorzystają. Nasz własny produkt oparty na AI testuje Twoje aplikacje webowe, API i powierzchnię ataku w kilka dni, a nie tygodni. Każda podatność jest potwierdzona dowodami. Płacisz tylko za to, co znajdziemy. [Omów audyt](https://synt.world/#contact) [Sprawdź zakres testów](https://synt.world/pl/methodology.html) Brak podatności? Brak opłat. Od podpisania umowy do raportu: maksymalnie tydzień. 90% raportów dostarczamy w ciągu jednego dnia. Połączone systemy. Powiązane ryzyka. Testy bezpieczeństwa rozliczane za wynik. Opłata za potwierdzoną podatność. Poziom zagrożenia określa cenę. ## Twoja powierzchnia ataku. Z każdej perspektywy. Od zasobów dostępnych w Internecie po systemy wymagające logowania. Sprawdzamy rzeczywiste możliwości wykorzystania Twoich systemów. ### Zewnętrzna powierzchnia ataku Sprawdź, do czego dotrze atakujący. Badamy dostępne systemy, usługi i konfiguracje pod kątem możliwych do wykorzystania słabości. - Domeny i dostępne usługi - Niebezpieczne konfiguracje - Niezamierzone ujawnienie danych ### Publiczne API Testujemy granice aplikacji i sprawdzamy, czy publiczne endpointy chronią dane i logikę biznesową. - Uwierzytelnianie i autoryzacja - Wstrzykiwanie i obsługa danych wejściowych - Nadużycia logiki biznesowej ### Wewnętrzne API Badamy więcej niż perymetr sieci: zaufanie między usługami i rzeczywiste uprawnienia zalogowanych użytkowników. - Role i granice dostępu - Eskalacja uprawnień - Ujawnianie danych między usługami Inny sposób płacenia za bezpieczeństwo ## Każda podatność. Jasna cena. Płacisz stałą cenę za każdą potwierdzoną podatność, zależną od poziomu zagrożenia, i nigdy więcej niż limit uzgodniony dla Twojego zakresu. [Ustalmy zakres](https://synt.world/#contact) 0 ### Brak podatności. Brak opłat. Jeśli nie znajdziemy podatności, nie płacisz za audyt. Potwierdzone wyniki Cena według zagrożenia Niskie 50 USD Średnie 150 USD Wysokie 400 USD Krytyczne 700 USD Ocena CVSS. Ustalenia informacyjne i zalecenia dotyczące utwardzania są bezpłatne. Dowody dla każdej podatności. ## Limity kosztów według zakresu Limit zależy od tego, co testujemy, a nie od wielkości firmy. Zakres i limit uzgadniamy na piśmie przed rozpoczęciem testów. Kwoty w dolarach amerykańskich (USD). Ceny i limity nie obejmują należnych podatków. Podatki zostaną wykazane oddzielnie na fakturze. Uzgodniony limit to maksymalna opłata za audyt przed należnymi podatkami. Jeśli wartość wyników go przekroczy, wszystkie dodatkowe potwierdzone podatności nadal znajdą się w raporcie bez dodatkowych opłat. Jedna aplikacja webowa lub API (do ok. 50 endpointów, 2 role użytkowników) Do 1 500 USD Do 3 aplikacji lub API albo do ok. 200 endpointów Do 4 000 USD Większy zakres Indywidualny limit, od 8 000 USD Przykład: test jednego API wykrywa 1 podatność wysoką, 3 średnie i 5 niskich. Faktura wynosi 400 + 450 + 250 = 1 100 USD, poniżej limitu 1 500 USD. Jeśli ten sam test niczego nie znajdzie, nic nie płacisz. ## Wynik, który pozwala działać. To rzeczywista, zanonimizowana ocena klienta. Identyfikatory i wrażliwe dowody zostały ukryte, a niektóre wyniki usunięte dla zachowania poufności. [Pobierz przykładowy raport (PDF)](https://synt.world/assets/synt-world-security-assessment-sample.pdf) 31 stron · Po angielsku · Zanonimizowany Ustalenie z raportu CRIT-01 Krytyczne · CVSS 9.3 ### Błędna konfiguracja CORS z poświadczeniami Aplikacja webowa / Kontrola dostępu · CWE-942 #### Obca strona mogłaby odczytać dane Twoich użytkowników. Serwer odzwierciedla dowolne źródło żądania (Origin) i zezwala na poświadczenia. Jeśli zalogowany użytkownik otworzy złośliwą stronę, może ona odczytać wrażliwe odpowiedzi wymagające uwierzytelnienia, o ile przeglądarka wyśle poświadczenia użytkownika, a endpoint przyjmie żądanie. #### Dowolne źródło odzwierciedlone, poświadczenia dozwolone. Raport dokumentuje odpowiedzi, które zwracają źródło żądania w nagłówku Access-Control-Allow-Origin wraz z Access-Control-Allow-Credentials: true. Odpowiedzi klienta i dowody odtworzenia ukryto w pliku PDF. Strona podsumowuje ocenę i nie wykonuje testu na żywo. Same nagłówki nie dowodzą wykorzystania: o tym, czy dane można odczytać, decydują polityka ciasteczek, uwierzytelnianie endpointu i tokeny żądań, a zredagowany (zaczerniony) przykład tego nie pokazuje. #### Zezwalaj tylko na własne źródła. Zwracaj Access-Control-Allow-Origin tylko dla jawnej listy własnych domen i usuń Access-Control-Allow-Credentials, chyba że potrzebuje go Twój własny frontend. Sprawdź wtyczki, które same dodają nagłówki CORS. Następnie powtórz żądanie z dowolnym Origin: odpowiedź nie może zawierać Access-Control-Allow-Origin. ## Od pierwszej rozmowy do konkretnej poprawki. Jasno określone zlecenie dostarcza zespołowi dowodów i wskazówek do działania. 01 ### Uzgodnij zakres Wspólnie ustalamy systemy, dostępy, granice testów i limit kosztów. 02 ### Przetestuj. Potem potwierdź. Badamy słabości i potwierdzamy je odtwarzalnymi dowodami oraz rzeczywistym wpływem. 03 ### Wiedz, co poprawić Otrzymasz raport z priorytetami, krokami odtworzenia i praktycznymi zaleceniami. ## Kilka rzeczy, które warto wiedzieć. Co liczy się jako wynik? + Potwierdzona podatność z odtwarzalnymi dowodami i oceną wpływu. Stosujemy CVSS; kryteria akceptacji uzgadniamy przed audytem. Ile kosztuje audyt? + Płacisz stałą cenę za każdą potwierdzoną podatność: krytyczna 700 USD, wysoka 400 USD, średnia 150 USD, niska 50 USD. Ustalenia informacyjne są bezpłatne. Suma nigdy nie przekracza limitu dla Twojego zakresu: 1 500 USD za jedną aplikację lub API, 4 000 USD za maksymalnie trzy, indywidualny limit dla większych zakresów. Potwierdzone podatności powyżej limitu i tak trafiają do raportu bez dodatkowej opłaty. Jeśli nie znajdziemy podatności, nic nie płacisz. Czy korzystacie z AI? + Tak. Nasz własny produkt oparty na dużych modelach językowych przyspiesza testy. Każda podatność jest odtwarzana i potwierdzana dowodami, zanim trafi do raportu, a z dostępem do kodu źródłowego możemy też naprawić to, co znajdziemy. Czy testujecie systemy wymagające logowania? + Tak. Testujemy wewnętrzne i uwierzytelnione API. Konta, role i dostępy uzgadniamy podczas ustalania zakresu. Jak długo trwają testy? + Od podpisania umowy do raportu: maksymalnie tydzień. 90% raportów dostarczamy w ciągu jednego dnia. Co otrzyma mój zespół? + Raport z potwierdzonymi podatnościami, zagrożeniem, wpływem, krokami odtworzenia i zaleceniami naprawy. Przyjrzyjmy się bliżej ## Kolejny krok do bezpieczeństwa zaczyna się tutaj. Opowiedz nam o swoim projekcie. Pomożemy ustalić, co przetestować. [Napisz do nas](mailto:ceo@synt.world,cbo@synt.world) [Telegram](https://t.me/Synt_World) [Zaproponuj rozmowę](https://synt.world/pl/contact.html#call)