Hakowanie / Pentest sklepu internetowego

Pentest sklepu internetowego co tydzień, z raportem dla kontrahenta

Sklep ma wystawioną do internetu bramkę płatności, panel administratora i pocztę z fakturami. Cotygodniowy test zewnętrzny pokazuje, co z tego widzi atakujący, i daje raport, który wysyłasz kontrahentowi lub ubezpieczycielowi.

Sprawdź domenę

Dla kogo jest ten pentest

Dla właściciela lub dyrektora IT sklepu internetowego, który dostał od operatora płatności, marketplace'u, dużego klienta B2B albo ubezpieczyciela pytanie: czy robicie testy bezpieczeństwa i kiedy był ostatni. Jednorazowy ręczny pentest odpowiada na to pytanie na jeden dzień. Abonament odpowiada na nie przez cały rok, bo każdy tydzień zostawia w raporcie datę testu, wynik i status napraw.

Co sprawdzamy w sklepie

certyfikat i konfigurację TLS domeny sklepu oraz przekierowanie z HTTP na HTTPS
nagłówki bezpieczeństwa odpowiedzi, które chronią koszyk i panel klienta
flagi ciasteczek sesji i koszyka (Secure, HttpOnly, SameSite)
ujawnione wersje serwera, PHP i silnika sklepu (WooCommerce, PrestaShop, Magento, Shoper i inne)
wystawione pliki kopii zapasowych, konfiguracji i panele administracyjne dostępne z internetu
SPF, DKIM i DMARC poczty firmowej, żeby nikt nie podszył się pod sklep w wiadomościach do klientów

Dlaczego co tydzień, a nie raz w roku

Sklep zmienia się stale: nowe wtyczki, aktualizacje szablonu, nowy certyfikat, nowa subdomena kampanii. Każda zmiana może otworzyć coś, co było zamknięte. Test tygodniowy łapie to w kilka dni, a nie przy następnym rocznym audycie. Jeśli kontrahent wymaga zgodności z NIS2 w łańcuchu dostaw, taki ciąg raportów jest wprost dowodem regularnej oceny środków bezpieczeństwa.

Czego ten test nie zastąpi

Test automatyczny z zewnątrz nie sprawdzi logiki Twojego sklepu: czy klient może zobaczyć cudze zamówienie, obejść kod rabatowy albo zmienić cenę w koszyku. Do tego potrzebny jest ręczny test z kontem testowym, który polecamy raz w roku. Hakowanie pilnuje reszty przez pozostałe 51 tygodni. Szczegóły zakresu opisaliśmy w materiale o testach bezpieczeństwa aplikacji webowych.

Ile to kosztuje

Plan Start kosztuje 590 zł netto miesięcznie i obejmuje kilka domen, więc pokrywa sklep, jego subdomeny i pocztę. Przy płatności rocznej 50% taniej. Agencja lub software house obsługujący wiele sklepów wybiera plan Grupa. Pełne zestawienie w cenniku, a o kosztach tradycyjnego pentestu przeczytasz w artykule ile kosztują testy penetracyjne.

Jak zacząć w 5 minut

wpisz domenę sklepu w formularzu na stronie głównej
zobacz wynik pasywny z oceną i listą uwag
załóż konto i potwierdź domenę rekordem TXT, żeby włączyć testy aktywne
pobierz raport z odniesieniem do art. 21 NIS2 i prześlij kontrahentowi

Pytania i odpowiedzi

Testy pasywne nie ingerują w sklep, to zwykłe zapytania DNS i jedno żądanie HTTP. Testy aktywne uruchamiamy dopiero po potwierdzeniu własności domeny i w ustalonym zakresie, więc ruch nie zaskoczy hostingu.

Raport zawiera datę testu, listę uwag z priorytetem i odniesienie do wymagań NIS2. Wielu kontrahentów prosi o dowód regularnych testów, ale format ustalają sami, więc sprawdź ich wymagania przed wysyłką.

Nie w pełni. Automat pilnuje konfiguracji, wersji i ekspozycji przez cały rok. Logikę biznesową sklepu, na przykład płatności i uprawnienia, sprawdza ręczny test z kontem testowym, polecany raz w roku.

Sprawdzamy wszystko, co widać z internetu, niezależnie od silnika: WooCommerce, PrestaShop, Magento, Shoper czy sklep na własnym kodzie. Wersje ujawnione przez serwer i wtyczki trafiają do raportu.

Zobacz też

Cennik Sprawdzenie bezpieczeństwa strony Skaner podatności

Sprawdź swoją domenę teraz

Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.