ACCESS01
Brak kontroli dostępu
Endpoint sprawdza, czy użytkownik jest zalogowany, ale nie weryfikuje, czy ma prawo wykonać daną operację.
Security testing dla aplikacji tworzonych z AI
Zanim wdrożysz aplikację AI, sprawdź, czy jest bezpieczna
Testujemy aplikacje, strony i sklepy tworzone z pomocą AI oraz vibe codingu. Uruchamiamy kod w odizolowanym środowisku, wykrywamy podatności i przekazujemy czytelny plan naprawy.
PRZEBIEG AUDYTUŚRODOWISKO TESTOWE
ANALIZA KODUZALEŻNOŚCITESTY API I DOSTĘPUPLAN NAPRAWY
Najpoważniejsze błędy często nie psują działania aplikacji
Formularz zapisuje dane, API zwraca odpowiedź, logowanie działa. Problem pojawia się wtedy, gdy inny użytkownik może wykonać tę samą operację, odczytać cudze dane albo ominąć walidację.
DEPS02
Podatne biblioteki i zależności
Projekt korzysta z paczek ze znanymi podatnościami albo nieaktualnych komponentów, których ryzyko nie zostało ocenione.
SECRETS03
Sekrety zapisane w kodzie
Klucze API, tokeny lub hasła trafiają do repozytorium, obrazu kontenera albo kodu dostępnego w przeglądarce.
INPUT04
Błędna walidacja danych
Aplikacja ufa danym z formularza lub API, co pozwala zmienić logikę zapytania, rolę użytkownika albo zakres operacji.
API05
Niezabezpieczone endpointy API
Funkcja widoczna tylko w panelu administratora nadal może być dostępna po bezpośrednim wywołaniu adresu API.
IDOR06
Dostęp do cudzych danych
Zmiana identyfikatora w adresie lub żądaniu pozwala pobrać rekord należący do innego konta.
Co sprawdzamy
Kontrolę dostępu, walidację danych i zachowanie aplikacji poza typową ścieżką
DLA KOGO
Dla projektów przed wdrożeniem lub ważną zmianą
Audyt ma sens, gdy kod powstał szybko, korzysta z wielu zależności albo nie przeszedł niezależnego przeglądu bezpieczeństwa.
Do rozpoczęcia
Nie potrzebujesz własnego zespołu bezpieczeństwa.
Do rozpoczęcia audytu wystarczą:
- Kod projektu
- Instrukcja uruchomienia
- Opis kluczowych funkcji
Kiedy warto zlecić test6 przykładów
Właściciele aplikacji SaaS
Gdy produkt obsługuje konta, płatności lub dane klientów.
Startupy przed wdrożeniem
Gdy MVP ma trafić do pierwszych użytkowników lub inwestora.
Firmy korzystające z vibe codingu
Gdy kod powstał szybko i bez pełnego przeglądu bezpieczeństwa.
Twórcy MVP i prototypów
Gdy prototyp zaczyna zmieniać się w produkt produkcyjny.
Właściciele sklepów internetowych
Gdy system przetwarza zamówienia, dane klientów i integracje.
Software house’y
Gdy potrzebna jest niezależna kontrola przed odbiorem projektu.
ZAKRES TESTÓW
Sprawdzamy kod i zachowanie aplikacji
OWASP TOP 10OWASP APICWE
Standardy porządkują pracę. Wynik opisujemy językiem problemu, skutku i poprawki.
OBSZARY KONTROLI 12 MODUŁÓW
01CODEAnaliza kodu źródłowego✓
02APPTesty aplikacji i API✓
03AUTHUwierzytelnianie oraz sesje✓
04ROLEAutoryzacja i uprawnienia✓
05DATADostęp do danych innych użytkowników✓
06DEPSZależności i znane podatności✓
07KEYSekrety zapisane w kodzie✓
08ENVKonfiguracja środowiska✓
09INPUTWalidacja danych i formularzy✓
10FILEUpload i obsługa plików✓
11ERRORBłędy i ujawniane informacje✓
12RISKRyzykowne fragmenty kodu✓
JAK PRACUJEMY
Jak przebiega audyt bezpieczeństwa
Przed rozpoczęciem uzgadniamy zakres, sposób przekazania kodu, funkcje objęte testem oraz termin usunięcia środowiska po zakończeniu prac.
- 01ETAP 01
Przekazanie kodu
Repozytorium, archiwum projektu albo czasowy dostęp do kodu wraz z instrukcją uruchomienia.
- 02ETAP 02
Uruchomienie aplikacji
Projekt uruchamiamy lokalnie w odizolowanym środowisku Docker na danych testowych.
- 03ETAP 03
Analiza i testy
Sprawdzamy kod, konfigurację, zależności, API i najważniejsze ścieżki działania aplikacji.
- 04ETAP 04
Raport z wynikami
Opisujemy podatności, dowody, ryzyko, możliwe skutki oraz konkretny sposób naprawy.
- 05ETAP 05
Retest
Po wdrożeniu poprawek ponownie sprawdzamy zgłoszone problemy i aktualizujemy ich status.
PRZYKŁADOWY RAPORTRaport, z którym programista
Raport, z którym programista
może od razu pracować
Każdy problem opisujemy w kontekście aplikacji. Raport wskazuje lokalizację błędu, sposób odtworzenia, możliwy skutek i zalecaną poprawkę.
PODSUMOWANIE
Wyniki analizy
2Problemy krytyczne
4Problemy wysokiego ryzyka
7Problemy średniego ryzyka
5Zaleceń dotyczących jakości kodu
VS-IDOR-01WYSOKIE RYZYKO
Użytkownik może pobrać dane innego konta przez zmianę identyfikatora w adresie API
OPIS PROBLEMU
Endpoint sprawdza ważność sesji, ale nie porównuje identyfikatora konta z użytkownikiem wykonującym żądanie. Zmiana parametru pozwala pobrać rekord należący do innej organizacji.
MOŻLIWY SKUTEK
Ujawnienie danych profilowych, historii rozliczeń i ustawień innego klienta.
STATUS PO RETEŚCIE
Do weryfikacji po poprawce
Krytyczny Wysoki Średni Niski
REZULTAT
Co otrzymujesz po zakończeniu testów
Wynik ma pomóc ustalić kolejność prac, przekazać zadania programiście i podjąć świadomą decyzję o wdrożeniu.
WYNIKProblemy uporządkowane według ryzyka dla projektu.
- 01
Raport PDF
- 02
Lista problemów według poziomu ryzyka
- 03
Wskazanie podatnych plików i fragmentów kodu
- 04
Instrukcje odtworzenia każdego błędu
- 05
Zalecenia naprawcze dla programisty
- 06
Podsumowanie dla właściciela projektu
- 07
Możliwość konsultacji wyników
- 08
Opcjonalny retest po poprawkach
Wiarygodność i doświadczenie to podstawa
VernoSec to usługa NetCoding.pl
Testy prowadzi fullstack developer NetCoding.pl pracujący w 17 językach programowania. Ma ponad 20 lat doświadczenia w tworzeniu oprogramowania, w tym 17 lat przy realizacji projektów webowych. Raport uwzględnia nie tylko podatność, ale też miejsce poprawki i jej wpływ na dalsze wdrożenie.
Zobacz NetCoding.pl17lat realizacji
projektów webowych
projektów webowych
20+lat pracy jako
developer oprogramowania
developer oprogramowania
17języków programowania
w pracy fullstack
w pracy fullstack
POUFNOŚĆ
Twój kod pozostaje pod kontrolą
Projekt uruchamiamy lokalnie w odizolowanym środowisku. Dostęp do kodu otrzymują wyłącznie osoby realizujące test. Zakres przechowywania i usunięcia danych ustalamy przed rozpoczęciem prac.
NDA
Możemy ustalić i podpisać zasady poufności przed przekazaniem kodu.
TRANSFER
Wspólnie wybieramy sposób bezpiecznego przekazania repozytorium lub archiwum.
ACCESS
Zakres dostępu ograniczamy do osób oraz elementów potrzebnych do realizacji testu.
CLEANUP
Po zakończeniu zamykamy środowisko i usuwamy kopie zgodnie z ustalonym terminem.
FAQ
Najczęstsze pytania przed testem
Najważniejsze informacje o przygotowaniu kodu, środowiska i danych testowych.
Możesz udostępnić prywatne repozytorium, przekazać zaszyfrowane archiwum albo ustalić z nami inny bezpieczny kanał. Przed rozpoczęciem potwierdzamy zakres dostępu i termin usunięcia kopii.
PRZED WDROŻENIEM
Sprawdź aplikację, zanim zrobi to ktoś bez Twojej zgody
Prześlij podstawowe informacje o projekcie.Wrócimy z proponowanym zakresem testów i wyceną.
KONTAKT
Opisz projekt i ustalimy sensowny zakres testów
Na początek wystarczy opis technologii, etapu projektu i funkcji wymagających najdokładniejszej kontroli. Możesz też wskazać planowany sposób przekazania kodu albo dodać link do repozytorium.
!
Nie przesyłaj haseł, kluczy API, tokenów ani danych produkcyjnych. Bezpieczny sposób przekazania kodu ustalimy osobno.
E-mail: kontaktvernosec.pl