需要进行网络应用程序渗透测试和漏洞赏金计划启动

我们运营一个处理用户账户、支付和内部业务逻辑的网络应用程序，在下一个重大版本发布之前，我们希望进行独立的、完全授权的安全评估，而不是依赖我们自己的假设。我们需要一个结构化的渗透测试，覆盖真实的攻击面：身份验证、会话处理、API端点、文件上传、支付流程、管理面板和第三方集成。这应该是真正的手动测试，而不是自动扫描——在相关情况下进行链式利用，并确认每个发现是可重现的。

除了这次一次性的测试，我们希望有一个持久的漏洞赏金计划，以便独立研究人员可以在明确的、记录的规则下继续探测该应用程序：范围、披露程序、严重性分类和符合我们预算的奖励结构，以及一个简单的报告接收流程。

最后，我们期待一份书面报告：每个漏洞的重现步骤、证据、业务影响和修复方案，按现实风险优先级排序，而不仅仅是自动评分。

我们需要：
— 具有授权渗透测试的证明经验；
— 一份带有修复指导的风险优先级报告；
— 帮助起草漏洞赏金范围和奖励等级；
— 就关键发现进行简短通话。