Описание проекта
У нас работает веб-приложение, через которое проходят учётные записи пользователей, платежи и часть внутренней бизнес-логики, и перед крупным релизом хочется получить независимую оценку защищённости, а не полагаться на собственные предположения. Нужен структурированный пентест, охватывающий реальную поверхность атаки: авторизацию и сессии, API, загрузку файлов, платёжные сценарии, админ-панели и интеграции со сторонними сервисами. Важно, чтобы это была именно ручная проверка, а не прогон автоматического сканера — при необходимости связка уязвимостей в единый сценарий и подтверждение, что каждая находка воспроизводима.
Помимо разового пентеста, хотим запустить постоянную программу баг-баунти: границы тестирования, порядок раскрытия, шкала критичности и вознаграждения исходя из бюджета, плюс простой приём отчётов.
По итогам ожидаем письменный отчёт: по каждой уязвимости — шаги воспроизведения, доказательства, влияние на бизнес и рекомендация, всё по приоритету исходя из реального риска, а не только оценки CVSS.
Что важно для нас:
— подтверждённый опыт официального пентеста веб-приложений;
— письменный отчёт с приоритизацией рисков;
— помощь в правилах и шкале вознаграждений баг-баунти;
— готовность обсудить критичные находки на созвоне.
Помимо разового пентеста, хотим запустить постоянную программу баг-баунти: границы тестирования, порядок раскрытия, шкала критичности и вознаграждения исходя из бюджета, плюс простой приём отчётов.
По итогам ожидаем письменный отчёт: по каждой уязвимости — шаги воспроизведения, доказательства, влияние на бизнес и рекомендация, всё по приоритету исходя из реального риска, а не только оценки CVSS.
Что важно для нас:
— подтверждённый опыт официального пентеста веб-приложений;
— письменный отчёт с приоритизацией рисков;
— помощь в правилах и шкале вознаграждений баг-баунти;
— готовность обсудить критичные находки на созвоне.
Веб программирование Наличные, Банковский перевод
