bogema Безопасность.
В деталях и сценариях.
От проверки кода до повторного тестирования исправлений перед запуском.
Проверка по устройству проекта
Состав аудита безопасности определяем в ТЗ: публичные страницы, формы, API, роли и интеграции. Перед запуском проверяем согласованный объём, фиксируем находки и повторно проверяем исправления.
Что входит в проверку
Код и зависимости
Ищем опасные операции, открытые ключи, лишние служебные файлы и известные уязвимости используемых компонентов.
Формы и входные данные
Проверяем обработку ввода, защиту от XSS и инъекций, ограничения загрузок. Для серверных операций — CSRF и валидацию на сервере.
Доступы и сессии
Если есть личный кабинет или API, проверяем права ролей, доступ к чужим данным, завершение сессий и параметры cookie.
Интеграции и логика
Проверяем границы доверия между сервисами и обход шагов в критичных сценариях, например при заказе или оплате.
Развёртывание
На финальном хостинге проверяем HTTPS, заголовки защиты и отсутствие публичного доступа к внутренним данным.
Отчёт и повторная проверка
Для находок фиксируем риск, доказательство, исправление и результат повторной проверки. Для неприменимых пунктов указываем причину.
Не только автоматический сканер
Автоматические проверки дополняем разбором сценариев и ручной проверкой доступа. Для небольшого статического сайта и сервиса с личным кабинетом нужны разные глубина и набор тестов.
Когда проверка завершена
После устранения находок в согласованном объёме и повторной проверки передаём результаты. HTTPS и серверные настройки проверяются на финальной среде. Изменения функций и интеграций требуют новых проверок; аудит не означает отсутствие любых будущих уязвимостей.
Обсудим вашу задачу.
Расскажите о бизнесе, идее и нужном результате. Начнём с вопросов, а затем предложим состав работы.
Обсудить проект