Projektbeschreibung
ÜbersetztWir betreiben eine Webanwendung, die Benutzerkonten, Zahlungen und interne Geschäftslogik verwaltet, und vor unserem nächsten großen Release möchten wir eine unabhängige, vollständig autorisierte Sicherheitsbewertung, anstatt uns auf unsere eigenen Annahmen zu verlassen. Wir benötigen einen strukturierten Penetrationstest, der die tatsächliche Angriffsfläche abdeckt: Authentifizierung, Sitzungsverwaltung, API-Endpunkte, Datei-Uploads, Zahlungsflüsse, Admin-Panels und Integrationen von Drittanbietern. Dies sollte echte manuelle Tests und keinen automatisierten Scan umfassen — verkettete Exploits, wo relevant, mit der Bestätigung, dass jede Feststellung reproduzierbar ist.
Neben dem einmaligen Test möchten wir ein dauerhaftes Bug-Bounty-Programm, damit unabhängige Forscher die Anwendung unter klaren, dokumentierten Regeln weiter untersuchen können: Umfang, Offenlegungsverfahren, Schweregradklassifizierung und eine Belohnungsstruktur, die in unser Budget passt, sowie einen einfachen Aufnahmeprozess für Berichte.
Am Ende erwarten wir einen schriftlichen Bericht: jede Schwachstelle mit Reproduktionsschritten, Beweisen, geschäftlichen Auswirkungen und einer Lösung, priorisiert nach realem Risiko, nicht nur nach einem automatisierten Score.
Was wir benötigen:
— nachgewiesene Erfahrung mit autorisiertem Pentesting;
— einen risikopriorisierten Bericht mit Empfehlungen zur Behebung;
— Hilfe bei der Erstellung des Umfangs und der Belohnungsstufen des Bug-Bounty-Programms;
— ein kurzes Gespräch über die kritischen Ergebnisse.
Neben dem einmaligen Test möchten wir ein dauerhaftes Bug-Bounty-Programm, damit unabhängige Forscher die Anwendung unter klaren, dokumentierten Regeln weiter untersuchen können: Umfang, Offenlegungsverfahren, Schweregradklassifizierung und eine Belohnungsstruktur, die in unser Budget passt, sowie einen einfachen Aufnahmeprozess für Berichte.
Am Ende erwarten wir einen schriftlichen Bericht: jede Schwachstelle mit Reproduktionsschritten, Beweisen, geschäftlichen Auswirkungen und einer Lösung, priorisiert nach realem Risiko, nicht nur nach einem automatisierten Score.
Was wir benötigen:
— nachgewiesene Erfahrung mit autorisiertem Pentesting;
— einen risikopriorisierten Bericht mit Empfehlungen zur Behebung;
— Hilfe bei der Erstellung des Umfangs und der Belohnungsstufen des Bug-Bounty-Programms;
— ein kurzes Gespräch über die kritischen Ergebnisse.
Webprogrammierung Bargeld, Banküberweisung
