Аудит безпеки веб-сайтів, застосунків, API і ПЗ
Поверхня атаки, заголовки, TLS, автентифікація, права, валідація, залежності, конфігурація хостингу.
Напрям C · новий напрям
Кібербезпека
Перевіряємо ваші сайти, застосунки, API і налаштування так, як це робив би зловмисник — але за вашим дозволом, у погодженому обсязі та з письмовим звітом, який можна виконати. Без обіцянок «повної безпеки».
Новий напрям AXION. Обсяг і формат робіт погоджуємо до старту. Практичний досвід описано нижче.
AXION SECURITY LABНавчальний сценарій
01Користувач
02API / запит
03Доступ
04Дані
ACCESS CONTROL / LAB-01Знайдено
Чужий запис за прямим посиланням
У прикладі користувач змінює ID у запиті й отримує запис іншого облікового запису. Сервер не перевіряє власника.
GET /api/records/other → 200Доступ дозволеноДоказПорушення меж доступу
Ілюстрація на демонстраційних даних. Не сканує ваш сайт і не показує результати реального аудиту.
Що вирішуємо
Коли це потрібно
- Сайт або застосунок робили підрядники, і ніхто не перевіряв, що там із паролями, доступами й оновленнями.
- Клієнти або партнери просять підтвердити, що дані захищені, а показати нічого.
- Є API або інтеграції з оплатами, і незрозуміло, хто й що може зробити без дозволу.
- Щось уже сталося — і треба знати, що саме відкрито, перш ніж це повториться.
Що входить
Напрями роботи
Перевірка коду та пошук вразливостей
Читання коду з фокусом на вхідні дані, доступи, секрети, обробку помилок і зовнішні виклики.
Санкціонований пентест, підтвердження знахідок і повторна перевірка
Лише за письмовим дозволом і в погодженому обсязі. Кожна знахідка — з доказом і кроками відтворення; після виправлення — ретест.
Перевірка конфігурацій, ідентифікацій, прав та інфраструктури
Хмарні сервіси, DNS, пошта (SPF/DKIM/DMARC), доступи співробітників, резервні копії.
Посилення захисту і безпека життєвого циклу розробки
Заголовки безпеки, політика CSP, ліміти, секрети на сервері, перевірки в CI, план відновлення.
Обсяг
- Погоджений перелік активів: домени, застосунки, API, репозиторії, акаунти — тільки ваші або з письмовим дозволом власника.
- Глибина на вибір: зовнішня перевірка без доступів, перевірка з обліковим записом, перевірка з доступом до коду.
- Правила взаємодії: вікна часу, що заборонено (навантаження, зміна даних), контакт на випадок інциденту.
- Знахідки з оцінкою ризику, доказом, кроками відтворення і конкретною рекомендацією.
- Повторна перевірка виправлень (ретест) у погодженому обсязі.
Що отримуєте
- Звіт для керівника: що критично, що важливо, що можна відкласти, і чому.
- Технічний звіт для розробників: кожна знахідка з відтворенням, рекомендацією та посиланням на код чи налаштування.
- Перелік перевіреного — щоб було зрозуміло, що саме охоплено, а що ні.
- Протокол ретесту: які знахідки закрито, які лишилися.
Чого не робимо
- Не обіцяємо «повну безпеку» чи відсутність вразливостей: перевірка охоплює погоджений обсяг на момент її проведення.
- Не тестуємо чужі системи без письмового дозволу власника і не виконуємо навантажувальні чи руйнівні перевірки в робочому середовищі.
- Не надаємо цілодобовий центр моніторингу (SOC/MDR) і не маємо сертифікацій, які не підтверджені документально.
- Не беремо через публічну форму паролі, ключі чи дампи — для чутливих матеріалів є окремий порядок передачі.
Процес
Як працюємо
- 01
Обсяг і дозвіл
Що перевіряємо, як глибоко, в який час, що заборонено. Письмовий дозвіл власника активів.
- 02
Розвідка та перевірка
Зовнішня поверхня, конфігурації, автентифікація, права, валідація, залежності. За потреби — код.
- 03
Підтвердження знахідок
Кожна проблема відтворюється і документується. Без «можливо вразливо» — або доказ, або знахідка не входить у звіт.
- 04
Звіт і план виправлень
Дві версії звіту. Пояснюємо пріоритети простими словами.
- 05
Ретест
Після виправлень перевіряємо ще раз і фіксуємо, що закрито.
Ціна
Пакети та ціни
Платна технічна перевірка відрізняється від безкоштовної розмови про задачу. Активне тестування — за письмовим дозволом власника.
Обсяг пакета
Один домен і один сайт: TLS, заголовки, DNS, відкриті ресурси, доступні конфігурації та залежності.
Результат
Звіт, підтверджені ризики та пріоритети. Не включає повний пентест або виправлення.
Обсяг пакета
Один репозиторій, до 10 000 рядків власного коду й одного стеку; залежності поза лімітом.
Результат
Перевірка доступів, секретів, вхідних даних і зовнішніх викликів; звіт із посиланнями на код.
Обсяг пакета
Один застосунок, до 2 ролей та 20 погоджених маршрутів; одне середовище.
Результат
Ручні перевірки, підтвердження знахідок, технічний і короткий бізнес-звіт; 1 ретест протягом 30 днів.
Обсяг пакета
Один REST API, до 20 endpoint і 2 ролей: автентифікація, доступи, валідація та бізнес-логіка.
Результат
Докази, запити для відтворення, рекомендації; 1 ретест протягом 30 днів. Без навантажувальних атак.
Обсяг пакета
Один хмарний акаунт, до 10 ресурсів і 10 ідентичностей; доступ лише для читання.
Результат
Ризики прав, сховищ, секретів і резервних копій. Без внутрішнього мережевого пентесту.
Обсяг пакета
Один сайт або сервіс, до 5 погоджених контролів: CSP, секрети, ліміти, залежності, перевірки CI.
Результат
Зміни коду або конфігурації та повторна перевірка погоджених контролів.
Обсяг пакета
До 10 знахідок з наданого звіту, один застосунок або API, один цикл перевірки.
Результат
Статус кожної знахідки й докази. Перший ретест наших пентестів уже входить у їхню ціну.
Повна таблиця пакетів, супроводу та витрат на роботу — на сторінці «Ціни та формати».
Чим підтверджено
Факти, а не обіцянки
- Цей напрям ми відкриваємо як нову лінію послуг. Нижче — тільки те, що вже зроблено на практиці.
- Публічна перевірка сайтів (заголовки безпеки, TLS, форми, швидкість) — частина нашого щоденного аудиту перед кожним контактом із бізнесом; інструмент власний, без втручання в чужі системи.
- Власні системи пройшли незалежну технічну ревізію (жовтень 2026): знайдені дефекти лімітів, історії діалогів і захисту від SSRF відтворено тестами й виправлено у вихідному коді.
Питання
Коротко про головне
Чи можете перевірити сайт конкурента або постачальника?
Ні. Перевіряємо лише ваші активи або ті, на які є письмовий дозвіл власника.
Це зламає мій сайт?
Правила взаємодії виключають руйнівні та навантажувальні дії в робочому середовищі. Якщо щось потребує ризику — робимо це на тестовій копії.
Що робити, якщо знайдете щось критичне?
Повідомляємо одразу погодженим каналом, не чекаючи звіту, і пропонуємо тимчасове обмеження ризику.
Почнімо з вашої задачі
Опишіть задачу або надішліть посилання. Перше обговорення — безкоштовне: узгодимо мету, обсяг і наступний крок. Технічний аудит та аналіз матеріалів — окремі послуги за прайсом.