Повторная проверка после пентеста: зачем она, если «уже починили»

После отчёта разработка пишет «исправлено» и все выдыхают. Через месяц выясняется, что починили форму на витрине, а тот же приём остался в API. Или закрыли для роли клиента и забыли менеджера. Повторная проверка существует именно для этого. Она короче первого прохода: смотрят подтверждённые пункты, а не начинают разведку заново.

Что считать закрытым

• Сценарий больше не проходит на том же адресе и с той же ролью.
• Соседний метод API проверен, а не только экран, который видит менеджер.
• Секрет, который засветился, заменён, а не «спрятан» в другой файл.
• В отчёте есть дата повторной проверки, а не устное «мы выкатили».

Без повторной проверки пентест превращается в список пожеланий. С ней у руководителя есть основание сказать, что конкретные дыры закрыты, и не путать это с фразой «сайт теперь безопасен навсегда». Новые релизы всё равно стоит закладывать в календарь отдельно.

В пентест сайта у Lexora повторная проверка входит. Если отчёт уже сделал кто-то другой и галочки стоят без повторного прохода, можем проверить только закрытые пункты. Новым клиентам, у которых отчёта ещё нет, разумнее начать с бесплатного базового аудита и уже по нему решить, нужен ли полный пентест.