Почему пентест сайта перед запуском дешевле, чем после
Релиз без проверки логики оставляет дыры там, где сканер витрины молчит: в чужих заказах, ролях и API.
Пентест заказывали банки, потом к нему пришли магазины и личные кабинеты. Причина бытовая: простой и утечка заказа стоят дороже, чем неделя проверки, а массовые атаки на веб стали дешёвыми. Перед запуском исправление ещё не задевает живых клиентов.
Чем пентест не является
Это не кнопка «сканировать» и не отчёт на сто страниц ради полки. В согласованных границах проверяют то, что сделал бы атакующий с вашим продуктом: обход входа, доступ к чужим данным сменой идентификатора, инъекции, слабые методы API, загрузку файлов. Сканер витрины часто этого не видит, потому что страница выглядит исправной.
Куда его ставить в календарь
- До боевого трафика или сразу после крупного релиза, пока правка ещё дешёвая.
- Отдельной строкой, если есть свой сервер, VPN или почта на том же периметре. Крепкая витрина не спасает открытый удалённый рабочий стол.
- С повторной проверкой исправлений. Иначе отчёт фиксирует дыры, которые так и остаются.
Магазину и кабинету проверка нужна раньше, чем лендингу с одной формой. Лендингу обычно хватает базового аудита и жёсткой формы. Lexora проводит пентест сайта с отчётом, который можно отдать разработке, и с повторной проверкой закрытых пунктов.
Связанные услуги Lexora
Запуск уже в календаре?
Поставим проверку до того, как это сделают посторонние.