Blog / Testy penetracyjne
Testy penetracyjne aplikacji mobilnych, z czego się składają i od czego zależy cena
Aplikacja mobilna to w praktyce trzy elementy: program na telefonie, serwer oraz interfejs API, który je łączy. Test penetracyjny może objąć każdy z nich, a koszt zależy od tego, które wybierzesz.
Z czego składa się bezpieczeństwo aplikacji mobilnej
Po stronie urządzenia ocenia się m.in. sposób przechowywania danych lokalnych, obsługę uwierzytelniania i ochronę przed modyfikacją aplikacji. Po stronie serwera i API sprawdza się autoryzację, walidację danych i konfigurację komunikacji.
Duża część realnych problemów leży po stronie API, ponieważ to ono decyduje, kto i do czego ma dostęp. Aplikacja w telefonie jest tylko interfejsem do tych danych.
Co obejmuje nasz test, a co nie
Hakowanie obejmuje część serwerową i dostępne z internetu API: konfigurację TLS, nagłówki, ochronę poczty oraz testy aktywne po weryfikacji własności domeny. Nie analizujemy aplikacji zainstalowanej na urządzeniu, czyli jej kodu, lokalnego magazynu danych ani zabezpieczeń przed modyfikacją.
Mówimy to wprost, aby nikt nie zakładał zakresu, którego nie ma. Pełna ocena aplikacji mobilnej wymaga uzupełnienia o ręczną analizę klienta mobilnego wykonywaną przez specjalistę.
Od czego zależy koszt testu aplikacji mobilnej
Nie podajemy kwot rynkowych, bo różnią się znacząco i zależą od wielu czynników. Warto natomiast wiedzieć, co wpływa na wycenę, aby porównywać oferty rzetelnie.
- Liczba platform, na przykład osobno Android i iOS.
- Liczba ekranów, funkcji i ról użytkowników.
- Rozmiar i złożoność API oraz dostępność dokumentacji.
- Głębokość testu i to, czy obejmuje analizę kodu.
- Konieczność powtórnego testu po naprawach.
Jak przygotować się do zamówienia testu
Przygotuj dokumentację API, konta testowe dla każdej roli i opis najważniejszych funkcji biznesowych. Ustal, które środowisko ma być badane, najlepiej testowe zbliżone do produkcyjnego.
Dobrze też określić z góry kryterium akceptacji raportu oraz zasady przekazywania wyników, bo raport z danymi o lukach jest informacją wrażliwą.
Regulacje i oczekiwania klientów
Jeśli aplikacja obsługuje dane klientów lub płatności, regularne testy bywają wymogiem kontraktowym. Dyrektywa NIS2 (2022/2555) w art. 21 wymaga oceny skuteczności środków zarządzania ryzykiem u podmiotów nią objętych. Polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku, a jej aktualny tekst należy sprawdzić w Dzienniku Ustaw.
Przegląd obowiązków znajdziesz na stronie wymagania NIS2.
Sensowny podział pracy
Praktyczne podejście to połączenie dwóch warstw. Ręczna analiza klienta mobilnego i logiki biznesowej wykonywana okresowo przez specjalistę oraz stały test zewnętrzny serwera i API, który pilnuje konfiguracji między większymi przeglądami.
Opis tej drugiej warstwy znajdziesz na stronach testy penetracyjne i jak to działa.
Cena stałego testu zewnętrznego
Automatyczny pentest zewnętrzny Hakowanie z raportem pod NIS2 i KSC kosztuje od 590 zł netto miesięcznie, szczegóły w cenniku. To odrębna usługa względem analizy aplikacji na urządzeniu i nie ma jej zastępować.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.