Проверка сайта на уязвимости: сканер, аудит и пентест - не одно и то же

Проверка сайта на уязвимости звучит как одна услуга, а на деле под ней продают три. Первая - автоматический сканер. Он полезен как подсказка: старый компонент, забытый адрес, странный заголовок. Он плохо понимает бизнес. Страница заказа может выглядеть исправной и при этом открываться чужим номером.

Вторая - аудит. Человек смотрит состояние: кто входит, куда уходят формы, есть ли копии, что торчит наружу. Третья - пентест: по договору проверяют, проходит ли сценарий, и подтверждают находку руками. Называть сканер пентестом - способ получить толстый PDF, после которого разработчик не знает, что чинить первым.

Как выбрать глубину

• Лендинг с формой: базовый аудит и жёсткие доступы. Новым клиентам аудит бесплатный.
• Магазин, кабинет, API: пентест сайта, от $50 за конечную точку.
• Сайт уже «сканировали» в прошлом году: спросите, была ли повторная проверка исправлений.
• Нужно, чтобы ночью кто-то заметил дефейс: это мониторинг, не ещё один скан.

Lexora начинает с аудита, если контур ещё не описан, и переходит к пентесту, когда на сайте есть чужие данные. Сканер используем как подсказку внутри работы, а не как продукт, который можно отправить клиенту без разбора. Исправления по сопровождаемому сайту закрываем вместе с разработкой.