Hakowanie / Pentest aplikacji SaaS

Pentest aplikacji SaaS z raportem na ankiety bezpieczeństwa klientów

Duży klient przed podpisaniem umowy przysyła ankietę bezpieczeństwa i pyta o testy penetracyjne. Cotygodniowy test zewnętrzny aplikacji SaaS daje dokument z datą, zakresem i statusem napraw, który wysyłasz od ręki, zamiast czekać tygodnie na termin u firmy zewnętrznej.

Sprawdź domenę

Dla kogo jest ten test

Dla zespołu produktowego SaaS, który sprzedaje do firm i coraz częściej słyszy w procesie zakupowym: pokażcie raport z pentestu. Zwykle to założyciel, CTO albo osoba odpowiedzialna za bezpieczeństwo w kilkunastoosobowej firmie, bez własnego zespołu security. Dodatkowo klienci objęci NIS2 mają obowiązek oceniać dostawców, więc pytań będzie przybywać.

Co sprawdzamy w aplikacji SaaS z zewnątrz

domenę główną, panel klienta, subdomeny API i środowiska, które przypadkiem są wystawione do internetu
certyfikaty TLS, nagłówki bezpieczeństwa i konfigurację ciasteczek sesji
ujawnione wersje oprogramowania, panele administracyjne, pliki konfiguracyjne i kopie zapasowe
otwarte porty i usługi, które nie powinny być widoczne, na przykład bazy danych lub zdalny dostęp
zmiany względem poprzedniego tygodnia, żeby nowa luka po wdrożeniu wyszła w ciągu kilku dni

Raport, który przechodzi ankiety dostawców

Każdy test kończy się raportem z datą, zakresem domen, listą uwag z priorytetem i odniesieniem do wymagań NIS2. Historia wyników zostaje w koncie, więc na pytanie jak często testujecie odpowiadasz ciągiem tygodniowych wyników, a nie jednym dokumentem sprzed roku. Jak odbiorcy oceniają taki dokument, opisaliśmy w artykule o raporcie z testów dla kontrahenta.

Czego test automatyczny nie zastąpi

Test z zewnątrz nie sprawdzi logiki biznesowej: czy użytkownik jednego klienta zobaczy dane drugiego, czy obejdzie limit planu lub podniesie sobie uprawnienia. To zadanie dla ręcznego testu z kontem testowym, zwykle raz w roku przed dużym wdrożeniem. Cotygodniowy test pilnuje reszty w czasie między takimi testami. Szczegóły zakresu znajdziesz w materiale o testach aplikacji webowych i API.

Który plan wybrać

Pojedynczy produkt z kilkoma domenami mieści się w planie Start od 590 zł netto miesięcznie. SaaS z osobnymi środowiskami i kilkunastoma subdomenami wybierze plan Firma, a firma budująca produkty dla wielu klientów plan Grupa, opisany na stronie pentestu dla software house. Pełne zestawienie jest w cenniku, przy płatności rocznej 50% taniej.

Jak zacząć

wpisz domenę aplikacji w formularzu na stronie głównej i zobacz wynik pasywny
załóż konto, wybierz plan i potwierdź własność domeny rekordem TXT
dodaj pozostałe subdomeny, w tym API i panel klienta
wysyłaj kolejne raporty klientom w odpowiedzi na ankiety bezpieczeństwa

Pytania i odpowiedzi

Zależy od ankiety. Wielu klientów pyta o częstotliwość testów, zakres i naprawy luk, i na to odpowiada cykliczny raport. Jeśli ankieta wymaga ręcznego testu niezależnej firmy, potrzebujesz go dodatkowo, raz w roku.

Tak, o ile subdomena API jest dodana do konta. Test sprawdza ją z zewnątrz: certyfikat, nagłówki, ujawnione wersje, otwarte usługi. Logiki autoryzacji poszczególnych endpointów nie ocenia.

Nie. Test zewnętrzny nie wykonuje ataków destrukcyjnych ani nie wysyła dużego ruchu. Sprawdza to, co widać z internetu, więc nie obciąża bazy ani nie zmienia danych klientów.

Plan Start zaczyna się od 590 zł netto miesięcznie, a przy płatności rocznej jest 50% taniej. Większe aplikacje z wieloma subdomenami wybierają plan Firma lub Grupa, pełna lista w cenniku.

Zobacz też

Cennik Aplikacje webowe i API Pentest dla software house Raport dla kontrahenta

Sprawdź swoją domenę teraz

Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.