Testy penetracyjne (pentesty) aplikacji webowych, API i mobilnych: cennik od 5 500 zł i raport, który rozumie zarząd

Umówcie bezpłatną konsultacjęWycena w 24 godziny+48 531 119 616

Pentest to kontrolowany atak na Waszą aplikację, API albo infrastrukturę, prowadzony przez naszego testera tak, jak zrobiłby to napastnik. Sprawdzamy, jak daleko da się wejść, co da się wynieść i co trzeba naprawić najpierw. Dostajecie raport techniczny dla zespołu i podsumowanie biznesowe dla zarządu, a po poprawkach retest.

Wycena w 24 godziny

Opiszcie krótko, czego potrzebujecie. W ciągu 24 godzin wrócimy z propozycją zakresu i wyceną albo z terminem rozmowy.

Dotyczy: Testy penetracyjne (pentesty)

Wolicie porozmawiać? Zadzwońcie: +48 531 119 616

Testy penetracyjne, czyli pentesty, to symulacja realnego ataku na Wasz system, prowadzona w uzgodnionym zakresie i czasie.
Zamiast listy teoretycznych podatności dostajecie odpowiedź na pytanie, co napastnik mógłby zrobić dziś z Waszą aplikacją, API albo serwerem.

W Quality Island zrealizowaliśmy ponad 70 projektów z testów bezpieczeństwa, zarówno dla dużych organizacji państwowych, jak i dla mniejszych firm prywatnych.
Pentesty są częścią naszych testów bezpieczeństwa i jedynym rodzajem testu, który pokazuje skutki podatności, a nie tylko jej istnienie.

Macie aplikację, API albo panel klienta wystawiony do Internetu i nie wiecie, jak daleko wszedłby napastnik? Umówmy bezpłatną rozmowę o zakresie pentestu.

Umówcie bezpłatną konsultację

Co sprawdza test penetracyjny?

Pentest odpowiada na trzy pytania: którędy da się wejść, co da się zrobić po wejściu i jak to naprawić.
Dlatego nie kończy się na liście podatności, tylko na ścieżkach ataku z oceną skutków dla danych, pieniędzy i reputacji.

Zakres dobieramy do Waszego systemu:

Pentesty aplikacji webowych: uwierzytelnianie, autoryzacja, sesje, walidacja danych, logika biznesowa i podatności z OWASP Top 10 (wstrzyknięcia, XSS, błędy kontroli dostępu, błędy konfiguracji).
Pentesty API: kontrola dostępu do obiektów i funkcji, limity zapytań, masowe przypisanie, ekspozycja danych, zgodnie z listą OWASP API Security Top 10.
Pentesty aplikacji mobilnych: komunikacja z API, przechowywanie danych na urządzeniu, logowanie i sesje, konfiguracja i zabezpieczenia aplikacji.
Infrastruktura i konfiguracja serwera: porty i usługi, certyfikaty, przestarzałe komponenty, zabezpieczenia sieciowe.
Aplikacje z modelami językowymi: wstrzyknięcia poleceń, wyciek danych przez chatbota i nadużycia, szczegóły na stronie testów bezpieczeństwa.

Każdy pentest prowadzi tester z doświadczeniem w projektach, a nie sam skaner.
Skanery automatyczne są u nas narzędziem pierwszego przebiegu, wyniki zawsze weryfikuje człowiek.

Kiedy pentest jest Wam potrzebny?

Wystawiacie nową aplikację, API albo panel klienta do Internetu i chcecie wiedzieć, co zobaczy napastnik, zanim zobaczy to on.
Klient, partner albo przetarg wymaga od Was raportu z testów penetracyjnych wykonanych przez niezależną firmę.
Jesteście dostawcą firmy objętej NIS2 albo ustawą o krajowym systemie cyberbezpieczeństwa i musicie wykazać, że Wasze oprogramowanie było testowane.
Przetwarzacie dane osobowe, płatności albo dane medyczne i chcecie ograniczyć ryzyko naruszenia.
Mieliście incydent albo podejrzenie incydentu i chcecie sprawdzić, czy luka została zamknięta na dobre.
Skaner podatności zgłasza setki pozycji i nikt nie wie, które z nich są prawdziwym ryzykiem.

Ile kosztują testy penetracyjne? Cennik pentestów

Test penetracyjny aplikacji webowej kosztuje u nas od 6 000 zł, testy bezpieczeństwa API od 5 500 zł, a aplikacji mobilnej od 7 000 zł netto.
Dlaczego ceny są „od”?
Zakres pentestu zależy od wielkości systemu, architektury, liczby integracji, poziomu ekspozycji na Internet oraz dojrzałości organizacji w obszarze security.
Na cenę wpływają przede wszystkim: zakres testów, liczba ról użytkowników do sprawdzenia, podejście (black box bez wiedzy o systemie, grey box z kontem testowym albo white box z dostępem do kodu i dokumentacji) oraz to, czy wycena obejmuje retest po wdrożeniu poprawek.
Podane ceny to realne stawki startowe dla najczęściej realizowanych projektów.
Wycenę z dokładnym zakresem wysyłamy w ciągu 24 godzin od rozmowy.

Pentest aplikacji webowej

od 6 000 zł

Analiza podatności zgodnie z OWASP Top 10
Testy autoryzacji i uwierzytelniania
Weryfikacja podatności na SQL Injection, XSS i inne ataki
Próba eskalacji uprawnień
Szczegółowy raport z oceną ryzyka i rekomendacjami

Pentest API

od 5 500 zł

Testy autoryzacji i kontroli dostępu
Próby obejścia mechanizmów zabezpieczeń
Analiza limitów zapytań i odporności na nadużycia
Weryfikacja poprawności walidacji danych
Raport z rekomendacjami naprawczymi

Pentest aplikacji mobilnej

od 7 000 zł

Analiza komunikacji z API
Testy przechowywania danych lokalnych
Weryfikacja mechanizmów logowania i sesji
Analiza konfiguracji i zabezpieczeń aplikacji
Raport z klasyfikacją podatności według poziomu ryzyka

Dostawca firmy objętej NIS2 lub KSC? Mamy pakiet testów bezpieczeństwa z retestem i raportem, który możecie przekazać klientowi.

Zobaczcie pakiet dla dostawców NIS2

Jak przebiega pentest?

Bezpłatna konsultacja

Poznajemy architekturę systemu, zakres przetwarzanych danych i cel testu: wymóg klienta, przygotowanie do audytu albo własna kontrola ryzyka.

Zakres i zasady gry

Ustalamy, co testujemy, w jakim podejściu (black, grey albo white box), w jakim środowisku i oknie czasowym, kto jest osobą kontaktową i czego nie robimy.

Rozpoznanie i skanowanie

Mapujemy powierzchnię ataku, uruchamiamy skanery i odsiewamy fałszywe alarmy, żeby czas eksperta poszedł na to, co ma znaczenie.

Ręczna eksploatacja

Tester próbuje wykorzystać znalezione słabości, łączy je w ścieżki ataku i sprawdza, jak daleko da się wejść i co da się wynieść.

Raport techniczny i biznesowy

Zespół dostaje listę podatności z krokami odtworzenia, oceną ryzyka i rekomendacjami. Zarząd dostaje podsumowanie: co grozi firmie i co naprawić najpierw.

Omówienie i wsparcie w naprawie

Przechodzimy raport z Waszym zespołem i odpowiadamy na pytania przy wdrażaniu poprawek.

Retest

Po poprawkach sprawdzamy ponownie każdą zgłoszoną podatność i wystawiamy potwierdzenie, co zostało usunięte.

Dlaczego pentesty w Quality Island?

Ponad 70 projektów z testów bezpieczeństwa dla dużych organizacji państwowych i mniejszych firm prywatnych, a łącznie ponad 150 zrealizowanych projektów i ponad 100 firm, które skorzystały z naszych usług lub szkoleń.
Jesteśmy firmą wyłącznie od testów i jakości oprogramowania, więc testujemy niezależnie od producenta Waszego systemu i nie sprzedajemy przy okazji wdrożenia ani sprzętu.
Raport piszemy w dwóch językach: technicznym dla zespołu i biznesowym dla zarządu, bo podatność bez oceny skutków nie dostaje budżetu na naprawę.
Retest jest częścią procesu, nie dodatkową usługą do negocjacji.
Prowadzimy też szkolenia z testów bezpieczeństwa dla zespołów, więc po pentescie możemy nauczyć Wasz zespół, jak takich błędów nie powtarzać.

Pentest dobrze łączy się z audytem QA, gdy chcecie poprawić cały proces jakości, oraz z testami wydajności, gdy system ma pracować pod dużym obciążeniem.

Chcę bezpłatną konsultację

FAQ: pytania o testy penetracyjne

Ile kosztują testy penetracyjne?

Test penetracyjny aplikacji webowej kosztuje u nas od 6 000 zł, testy bezpieczeństwa API od 5 500 zł, a aplikacji mobilnej od 7 000 zł netto. Cena zależy od zakresu, liczby ról użytkowników, podejścia (black box, grey box albo white box) i tego, czy wycena obejmuje retest. Wycenę z zakresem wysyłamy w ciągu 24 godzin od rozmowy.

Czym pentest różni się od skanu podatności?

Skaner porównuje system ze znanymi sygnaturami i zgłasza wszystko, co pasuje, także fałszywe alarmy. W pentescie nasz tester analizuje logikę aplikacji, łączy słabe punkty w ścieżkę ataku i sprawdza, co faktycznie da się zrobić. Skan jest elementem pentestu, nie jego zamiennikiem.

Black box, grey box czy white box: co wybrać?

Black box to test bez wiedzy o systemie, jak atak z zewnątrz. Grey box to test z kontem testowym i podstawową dokumentacją, najczęściej wybierany, bo daje najwięcej wyników w rozsądnym czasie. White box to test z dostępem do kodu i architektury, wybierany przy systemach krytycznych. Podejście ustalamy na pierwszej rozmowie.

Jak długo trwa pentest aplikacji webowej?

Zwykle od kilku dni do dwóch tygodni, zależnie od wielkości aplikacji i liczby ról. Dokładny termin podajemy w wycenie po ustaleniu zakresu.

Czy testujecie na produkcji?

Wolimy środowisko testowe albo przedprodukcyjne z danymi odpowiadającymi produkcji. Jeżeli test musi iść na produkcji, uzgadniamy okno czasowe, wyłączamy scenariusze obciążeniowe i destrukcyjne i mamy osobę kontaktową po Waszej stronie przez cały czas testu.

Co dostajemy po pentescie?

Raport techniczny z listą podatności, oceną ryzyka, krokami odtworzenia i rekomendacjami naprawy dla zespołu oraz podsumowanie biznesowe dla zarządu i klientów. Po wdrożeniu poprawek robimy retest i potwierdzamy, co zostało usunięte.

Czy pentest wystarczy pod NIS2, KSC albo wymagania klienta?

Pentest z retestem i raportem jest dowodem, że sprawdziliście bezpieczeństwo systemu, i często to właśnie takiego dowodu wymaga klient objęty NIS2 albo ustawą o KSC. Nie jest potwierdzeniem zgodności całej organizacji z przepisami. Dla dostawców firm objętych tymi regulacjami mamy osobny pakiet.

Czy robicie też testy socjotechniczne i Red Team?

Tak, na życzenie: kampanie phishingowe i symulacje ataków socjotechnicznych w ramach projektów Red Team. To osobna wycena, zależna od liczby osób i scenariuszy.