Pentesty aplikacji web i API
Model siedzi w zwykłej aplikacji: z logowaniem, sesjami, uprawnieniami i API. Pentest znajduje podatności w tej warstwie, zanim zrobi to ktoś inny, a raport przychodzi z darmowym retestem.
Umów bezpłatną konsultacjęDla kogo
- Aplikacje z komponentem AI (pakiet AI + API Pentest)
- Klasyczne aplikacje web i API startupów i software house’ów
- Firmy pod NIS2 i DORA
Zakres testów
- OWASP Top 10 i OWASP API Security Top 10
- Uwierzytelnianie i sesje
- Autoryzacja: IDOR, eskalacja uprawnień, dostęp między tenantami
- Walidacja wejścia: injection, XSS, SSRF
- Konfiguracja: nagłówki, TLS, CORS, cookies
- Logika biznesowa
- Sekrety i obsługa błędów
- Zależności ze znanymi CVE
- W aplikacjach AI dodatkowo endpointy do modelu i ich limity
Jak przebiegają testy
Według OWASP Web Security Testing Guide (WSTG) i ASVS, black-box lub grey-box (z kontem testowym), ręcznie i narzędziami: Burp Suite, nuclei, własne skrypty.
Bez DoS, bez socjotechniki, bez testów na produkcji poza uzgodnionym oknem.
Co dostajesz
- Raport: podsumowanie zarządcze, znaleziska z CVSS, kroki odtworzenia, rekomendacje
- Spotkanie omawiające wyniki
- Darmowy retest, jeśli poprawki są gotowe w ciągu 30 dni od raportu, i zaktualizowany raport
- Odznakę „Tested by codequality.pl” po reteście
Pakiety
| Pakiet | Co zawiera | Czas |
|---|---|---|
| Pentest web / API | klasyczny pentest bez warstwy AI, wg OWASP ASVS, raport, darmowy retest | ok. 10 dni roboczych |
| AI + API Pentest | AI Security Review + pentest API i aplikacji web wokół modelu (ASVS L1/L2); jeden raport, darmowy retest | ok. 15 dni roboczych |
| Pentest cykliczny | pentest web / API powtarzany co kwartał, raport i darmowy retest | kwartalnie |
Najczęstsze pytania
Black-box czy grey-box?
Zależy od celu. Grey-box z kontem testowym pozwala sprawdzić autoryzację i dostęp między tenantami, black-box pokazuje widok z zewnątrz. Wybieramy na rozmowie.
Czy pentest może zaszkodzić produkcji?
Bez DoS i socjotechniki, a na produkcji testy odbywają się wyłącznie w uzgodnionym oknie.
Czy raport przyda się pod NIS2 lub DORA?
Tak, jako techniczny dowód testowania zabezpieczeń. Formalny audyt robi audytor lub kancelaria.
Nasza aplikacja ma też warstwę AI. Który pakiet wybrać?
AI + API Pentest: testy warstwy AI i pentest aplikacji wokół modelu w jednym raporcie.
Kontakt
Wystarczy kilka zdań: co robi Twoja aplikacja, gdzie korzysta z AI i co chcesz przetestować. Odpowiedź przychodzi w ciągu 1 dnia roboczego, razem z propozycją terminu bezpłatnej rozmowy.