Potrzebny test penetracyjny aplikacji webowej i uruchomienie programu nagród za błędy

Prowadzimy aplikację webową, która obsługuje konta użytkowników, płatności i wewnętrzną logikę biznesową, a przed naszym następnym dużym wydaniem chcemy niezależnej, w pełni autoryzowanej oceny bezpieczeństwa, zamiast polegać na własnych założeniach. Potrzebujemy strukturalnego testu penetracyjnego obejmującego rzeczywistą powierzchnię ataku: uwierzytelnianie, zarządzanie sesjami, punkty końcowe API, przesyłanie plików, przepływy płatności, panele administracyjne i integracje zewnętrzne. To powinno być prawdziwe testowanie manualne, a nie automatyczne skanowanie — powiązane exploity tam, gdzie to istotne, z potwierdzeniem, że każdy wynik jest powtarzalny.

Obok jednorazowego testu, chcemy trwałego programu nagród za błędy, aby niezależni badacze mogli nadal badać aplikację według jasnych, udokumentowanych zasad: zakres, procedura ujawniania, klasyfikacja powagi i struktura nagród, która mieści się w naszym budżecie, plus prosty proces przyjmowania raportów.

Na koniec oczekujemy pisemnego raportu: każda podatność z krokami reprodukcji, dowodami, wpływem na biznes i rozwiązaniem, priorytetowo według ryzyka w rzeczywistym świecie, a nie tylko automatycznego wyniku.

Czego potrzebujemy:
— udokumentowane doświadczenie w autoryzowanym testowaniu penetracyjnym;
— raport priorytetowy według ryzyka z zaleceniami naprawczymi;
— pomoc w opracowaniu zakresu nagród za błędy i poziomów nagród;
— krótka rozmowa na temat krytycznych ustaleń.