Güvenlik testleri. Sonuca bağlı sorumluluk. # Açıkları bulun. Başkaları bulmadan önce. Yapay zekâ destekli kendi ürünümüz web uygulamalarınızı, API’lerinizi ve saldırı yüzeyinizi haftalar yerine günler içinde test eder. Her açık kanıtla doğrulanır. Yalnızca bulduklarımız için ödeme yaparsınız. [Denetiminizi görüşelim](https://synt.world/#contact) [Test kapsamımızı keşfedin](https://synt.world/tr/methodology.html) Güvenlik açığı bulunmadı mı? Ödeme yok. Sözleşmenin imzalanmasından raporun teslimine kadar en fazla bir hafta. Raporların %90’ını bir gün içinde teslim ediyoruz. Bağlantılı sistemler. Bağlantılı riskler. Sonuca sorumlulukla bağlı güvenlik testleri. Doğrulanmış açık başına ödeme. Fiyatı önem derecesi belirler. ## Saldırı yüzeyiniz. Her açıdan incelenir. İnternete açık sistemlerden kimlik doğrulama arkasındakilere kadar. Sistemlerinizin gerçekte nasıl istismar edilebileceğini test ediyoruz. ### Dış saldırı yüzeyi Bir saldırganın nelere ulaşabileceğini görün. Açık varlıkları, servisleri ve yapılandırmaları istismar edilebilir zayıflıklar açısından inceliyoruz. - Alan adları ve açık servisler - Güvenlik yapılandırma hataları - İstenmeyen veri ifşası ### Herkese açık API’ler Uygulamanızın sınırlarını test edin. Herkese açık uç noktaların verilerinizi ve iş mantığınızı koruyup korumadığını kontrol ediyoruz. - Kimlik doğrulama ve yetkilendirme - Enjeksiyon ve girdi işleme - İş mantığının kötüye kullanımı ### Dahili API’ler Çevre güvenliğinin ötesine geçin. Servisler arasındaki güveni ve kimliği doğrulanmış bir kullanıcının gerçekte nelere erişebildiğini araştırıyoruz. - Roller ve erişim sınırları - Yetki yükseltme - Servisler arası açıklıklar Güvenlik için farklı bir ödeme modeli ## Her bulgu. Net bir fiyat. Doğrulanmış her açık için önem derecesine göre belirlenen sabit bir ücret ödersiniz; toplam tutar kapsamınız için kararlaştırılan tavanı asla aşmaz. [Kapsamınızı belirleyelim](https://synt.world/#contact) 0 ### Bulgu yok. Ücret yok. Hiç güvenlik açığı bulamazsak, denetim için ücret ödemezsiniz. Doğrulanmış bulgular Önem derecesine göre fiyatlandırma Düşük 50 USD Orta 150 USD Yüksek 400 USD Kritik 700 USD CVSS ile önem derecesi değerlendirmesi. Bilgilendirme amaçlı bulgular ve sıkılaştırma önerileri ücretsizdir. Her bulgu için kanıt. ## Kapsama göre ücret tavanları Tavan, şirketinizin büyüklüğüne değil, neyi test ettiğimize bağlıdır. Kapsamı ve tavanı testler başlamadan önce yazılı olarak kararlaştırırız. Tüm tutarlar ABD doları (USD) cinsindendir. Fiyatlara ve denetim ücreti tavanlarına uygulanabilir vergiler dahil değildir. Ödenmesi gereken vergiler faturanızda ayrıca gösterilir. Kararlaştırılan tavan, uygulanabilir vergiler hariç azami denetim ücretidir. Bulguların toplam bedeli bu tutarı aşsa bile, ek olarak doğrulanan her açık raporunuza ücretsiz dahil edilir. Tek bir web uygulaması veya API (en fazla ~50 uç nokta, 2 kullanıcı rolü) En fazla 1.500 USD En fazla 3 uygulama veya API ya da en fazla ~200 uç nokta En fazla 4.000 USD Daha geniş kapsam Özel tavan, 8.000 USD’den itibaren Örnek: Tek bir API testinde 1 yüksek, 3 orta ve 5 düşük önem dereceli açık bulunur. Fatura 400 + 450 + 250 = 1.100 USD olur ve 1.500 USD tavanının altında kalır. Aynı test hiçbir şey bulamazsa ödeme yapmazsınız. ## Harekete geçmenizi sağlayan bir bulgu. Bu, gerçek bir müşteriye ait anonimleştirilmiş bir değerlendirmedir. Müşteri tanımlayıcıları ve hassas kanıtlar gizlenmiş, gizliliği korumak için bazı bulgular çıkarılmıştır. [Örnek raporu indirin (PDF)](https://synt.world/assets/synt-world-security-assessment-sample.pdf) 31 sayfa · İngilizce · Anonimleştirilmiş Rapor bulgusu CRIT-01 Kritik · CVSS 9.3 ### Kimlik bilgileriyle CORS yanlış yapılandırması Web uygulaması / Erişim kontrolü · CWE-942 #### Başka bir web sitesi kullanıcılarınızın verilerini okuyabilir. Sunucu, istek yapan her kaynağı (Origin) geri yansıtır ve kimlik bilgilerine izin verir. Oturum açmış bir kullanıcı kötü amaçlı bir siteyi açarsa, tarayıcı kullanıcının kimlik bilgilerini gönderdiği ve uç nokta isteği kabul ettiği sürece bu site kimlik doğrulamalı hassas yanıtları okuyabilir. #### Her kaynak geri yansıtılıyor, kimlik bilgilerine izin veriliyor. Rapor, istek yapan kaynağı Access-Control-Allow-Origin başlığında Access-Control-Allow-Credentials: true ile birlikte döndüren yanıtları kaydeder. Müşteriye özgü yanıtlar ve yeniden üretim kanıtları indirilebilir örnekte gizlenmiştir. Bu sayfa değerlendirmeyi özetler; canlı bir test değildir. Başlıklar tek başına istismarı kanıtlamaz: verilerin okunup okunamayacağını çerez politikası, uç nokta kimlik doğrulaması ve istek belirteçleri belirler; karartılmış örnek bunları göstermez. #### Yalnızca kendi kaynaklarınıza izin verin. Access-Control-Allow-Origin başlığını yalnızca kendi alan adlarınızdan oluşan açık bir izin listesi için döndürün ve kendi ön yüzünüz gerektirmiyorsa Access-Control-Allow-Credentials başlığını kaldırın. CORS başlıklarını kendiliğinden ekleyen eklentileri kontrol edin. Ardından isteği rastgele bir Origin ile tekrarlayın: yanıt Access-Control-Allow-Origin içermemelidir. ## İlk görüşmeden net bir çözüme. Ekibinize harekete geçmek için kanıt ve yol gösteren, odaklı bir çalışma. 01 ### Kapsamı kararlaştırın Varlıkları, erişimi, test sınırlarını ve ücret tavanını birlikte belirliyoruz. 02 ### Test ediyoruz. Ardından doğruluyoruz. Zayıflıkları araştırıyor; bulguları yeniden üretilebilir kanıtlar ve gerçek etkileriyle doğruluyoruz. 03 ### Neyi düzelteceğinizi bilin Yeniden üretim adımları ve uygulanabilir giderme önerileri içeren, önceliklendirilmiş bir rapor alın. ## Bilmeniz gereken birkaç şey. Neler bulgu sayılır? + Yeniden üretilebilir kanıtlar ve etki değerlendirmesiyle desteklenen doğrulanmış bir güvenlik açığı. Önem derecesi CVSS ile değerlendirilir; bulgu kabul kriterleri denetimden önce kararlaştırılır. Denetimin maliyeti ne kadar? + Doğrulanmış her açık için sabit bir ücret ödersiniz: Kritik 700 USD, Yüksek 400 USD, Orta 150 USD, Düşük 50 USD. Bilgilendirme amaçlı bulgular ücretsizdir. Toplam tutar kapsamınızın tavanını asla aşmaz: tek bir uygulama veya API için 1.500 USD, en fazla üç için 4.000 USD, daha geniş kapsamlar için özel tavan. Tavanın üzerindeki doğrulanmış açıklar da ek ücret olmadan raporunuzda yer alır. Hiç açık bulamazsak ödeme yapmazsınız. Yapay zekâ kullanıyor musunuz? + Evet. Büyük dil modelleri üzerine kurulu kendi ürünümüz testleri hızlandırır. Her açık raporunuza girmeden önce yeniden üretilir ve kanıtla doğrulanır; kaynak kodunuza erişimle bulduklarımızı da düzeltebiliriz. Giriş gerektiren sistemleri test edebilir misiniz? + Evet. Dahili ve kimlik doğrulamalı API testleri kapsamımıza dahildir. Gereken hesapları, rolleri ve erişimi kapsam belirleme aşamasında kararlaştırıyoruz. Testler ne kadar sürer? + Sözleşmenin imzalanmasından raporun teslimine kadar en fazla bir hafta. Raporların %90’ını bir gün içinde teslim ediyoruz. Ekibim ne alacak? + Doğrulanmış açıkları, önem derecelerini, etkilerini, yeniden üretim adımlarını ve giderme önerilerini içeren bir rapor. Daha yakından bakalım ## Güvenlikte bir sonraki adımınız burada başlıyor. Ne geliştirdiğinizi bize anlatın. Nelerin test edileceğini birlikte belirleyelim. [E-posta gönderin](mailto:ceo@synt.world,cbo@synt.world) [Telegram](https://t.me/Synt_World) [Görüşme talep edin](https://synt.world/tr/contact.html#call)