Веб-приложения · API · бизнес-логика
Проверьте, где заканчиваются права пользователя.
Согласуем пентест сайта, API и личного кабинета: от входа и восстановления доступа до сложных действий с документами, заказами и данными других пользователей.
Индивидуальная программа · стоимость по согласованному объёму
Предмет проверки
Проверяем путь пользователя целиком
Уязвимость может находиться на стыке интерфейса, серверного API и системы прав. Поэтому программу связываем с реальными ролями и разрешёнными бизнес-сценариями, а не только со списком URL.
Вход и сессии
Регистрация, восстановление доступа, завершение сессий и применение дополнительных факторов — в согласованной модели угроз.
Авторизация и изоляция
Доступ к объектам и функциям, границы организаций, делегирование полномочий и привилегированные операции.
API и интеграции
Проверка входных данных, обработка ошибок, ограничения интерфейсов и доверие между приложениями.
Бизнес-логика
Последовательность согласований, повтор операций, изменение статусов и ограничения важных действий.
Файлы и документы
Разрешения на загрузку, чтение, обработку и публикацию; минимизация лишних данных в ответах.
Контроль защитных мер
Настройки безопасности и наблюдаемость согласованных событий без выхода за утверждённые объекты.
Покрытие определяется ролями и процессами
До начала согласуем интерфейсы, тестовые учётные записи, доступную документацию, ограничения по данным и глубину проверки. Для внешнего контура можно выбрать проверку без внутренних сведений; для бизнес-логики полезны описание процессов и несколько тестовых ролей. В отчёте отдельно отмечаем недоступные и непроверенные области.
Контекст проверки
Пример: кабинет организации
На тестовых организациях проверяем, что сотрудник видит только разрешённые документы, не наследует чужие права и не обходит согласование через API. В доказательствах используем подготовленные данные; реальное изменение клиентских документов в такую проверку автоматически не входит.
Осязаемый результат
Что получит ваша команда
Матрица ролей и сценариев
Какие сочетания пользователя, объекта и действия проверены, где остались ограничения.
Карточки для разработчиков
Затронутый компонент, условия проявления, доказательство, приоритет и рекомендуемый способ исправления.
Протокол ретеста
Что устранено, что сохранилось и какие изменения требуют дополнительного покрытия.
Точный состав документов, объём помощи с исправлениями и условия ретеста фиксируются в программе и договоре.
Понятный порядок работы
- Уточняем задачу
Объекты, владельцы, критичные процессы, доступы и требования к исполнителю.
- Согласуем программу
Письменное разрешение, методы, окна, ограничения, данные и порядок остановки.
- Проверяем и разбираем
Подтверждённые наблюдения, приоритеты и обсуждение с технической командой.
- Возвращаемся к исправлениям
Согласованный ретест на конкретной версии и документированный результат.
Стоимость и сроки
Рассчитаем по вашему контуру.
В предложении фиксируем границы проверки, этапы, результат и условия повторной проверки. Изменение объёма обсуждается отдельно.
Получить программу и расчёт ↗Что влияет на оценку
- Число систем, интерфейсов, ролей и интеграций.
- Глубина сценариев и доступность тестового контура.
- Требования к исполнителю, доказательствам и отчётности.
- Окна работ, помощь с исправлениями и объём ретеста.
Ответы перед началом
Можно проверять перед запуском?
Да. Согласуем тестовый контур и его соответствие будущей эксплуатации. Различия стенда и промышленной версии отражаем в ограничениях.
Что нужно для оценки объёма?
Достаточно описания приложения, числа пользовательских ролей, основных интеграций и критичных операций. Закрытые схемы, доступы и данные передаются позже по согласованному каналу.
Входит ли нагрузочное тестирование?
Нет автоматически. Проверки производительности и доступности имеют свою программу, пределы воздействия и подготовку восстановления.
Следующий шаг
Начнём с вашей задачи.
Опишите задачу в общих словах. Пароли, токены, персональные данные клиентов и закрытые материалы через эту форму не передавайте.