Тестирование на проникновение: что это значит для владельца сайта
Тестирование на проникновение - проверка по разрешению владельца, можно ли войти или увидеть чужие данные. Без письма владельца это уже не услуга.
Слово «пентест» в разговоре с владельцем часто превращается в туман. Кто-то ждёт, что специалист «попробует взломать». Кто-то ждёт печать на бланке. Рабочее определение проще. Тестирование на проникновение - это согласованная проверка: может ли человек снаружи или с учёткой клиента сделать то, чего не должен. Войти в админку, открыть чужой заказ, вызвать действие API без прав.
Ключевое слово - согласованная. Нужны договор и письменное разрешение того, кому сайт принадлежит. Список адресов, учётки, окно работ и запрет выходить за границы. Нагрузку и разрушающие проверки без отдельного согласия не делаем. Методология, на которую опираемся, - OWASP Testing Guide и PTES. Это рамка, а не набор приёмов «на любой сайт».
Что вы должны получить на выходе
- Резюме на одну-две страницы: что подтвердилось и чем это грозит бизнесу.
- Карточки для разработчика: условие, влияние, как закрыть. Без воды со сканера.
- Повторную проверку после исправлений.
- Понимание, чего в работу не входило. Молчание об офисе не значит, что офис в порядке.
Для лендинга это часто избыточно: хватает аудита безопасности сайта, новым клиентам он бесплатный. Для магазина и кабинета тестирование на проникновение как раз уместно. Lexora проводит его по сайту в Минске и по Беларуси удалённо, от $50 за конечную точку. Аттестат и лицензию центра мы этим договором не подменяем.
Связанные услуги Lexora
Нужно объяснить проверку руководству?
Коротко опишем границы и результат до старта, без тумана в договоре.