Что должно быть в отчёте пентеста, чтобы его можно было отдать разработке

Отчёт, который нельзя отдать разработке, узнаётся с первой страницы. Там рейтинг «общий балл безопасности», логотипы и таблица на двести строк, где половина - информационные замечания про заголовки. Руководитель не понимает, что случится с заказами. Разработчик не понимает, какой файл открывать.

Два слоя, и оба нужны

Первый слой - резюме. Что подтвердилось, что это значит для клиентов и денег, что чинить первым. Без пересказа методики на десять страниц. Второй слой - карточка находки: в каком условии она есть, кого задевает, насколько это критично и как закрыть. Сканер мог подсказать место. В карточке остаётся только то, что человек проверил.

• Критичность привязана к вашему сайту, а не к абстрактной шкале «в интернете так принято».
• Написано, чего в работу не входило. Иначе молчание читают как «всё чисто».
• Есть порядок, а не пятьдесят равных пунктов.
• Заложена повторная проверка. Закрытый пункт без неё - галочка.

Именно такой отчёт Lexora отдаёт после пентеста сайта. Если у вас уже лежит PDF от другого исполнителя и по нему некому работать, базовый аудит или разбор этого файла часто полезнее нового скана. Новым клиентам базовый аудит бесплатный. Сам пентест - от $50 за конечную точку, с повторной проверкой после исправлений.