Bezpieczeństwo aplikacji
Pentesty webu, aplikacji mobilnych i API, z poprawkami, które wasz zespół wdroży.
Większość włamań wciąż zaczyna się w aplikacji: brakująca kontrola dostępu, klient widzący dane innego klienta, API ufające przeglądarce. Testujemy waszą aplikację webową, aplikacje mobilne i API tak, jak zrobiłby to atakujący, tłumaczymy każde znalezisko językiem programistów i testujemy ponownie po poprawce – by raport zamienił się w bezpieczniejsze oprogramowanie, a nie w zapomniany PDF.
01 / Co testujemy
Uwierzytelnianie, sesje, kontrola dostępu między użytkownikami i klientami, logika biznesowa i OWASP Top 10.
API REST i GraphQL według OWASP API Security Top 10: autoryzacja na poziomie obiektów, mass assignment, limity, tokeny.
Aplikacje iOS i Android według OWASP MASVS: pamięć lokalna, certificate pinning, inżynieria wsteczna i backend.
Czaty LLM, agenci AI i serwery MCP w waszym produkcie – testowane pod kątem prompt injection, wycieku danych i niepożądanych działań.
02 / Stos
Standardy branżowe, nudne w dobrym sensie: narzędzia z przyszłością, które będzie znał także następny inżynier.
Testy webu
Burp Suite
Proxy przechwytujące do testów ręcznych
OWASP ZAP
Otwartoźródłowy skaner i proxy
Nuclei
Szablonowe sprawdzanie znanych podatności
Playwright
Skryptowane ścieżki do testów z logowaniem
Testy API
Postman
Kolekcje autoryzowanych wywołań
Schemathesis
Testy oparte na właściwościach z OpenAPI
GraphQL tooling
Introspekcja, batching i głębokie zapytania
JWT & OAuth testing
Testy tokenów, uprawnień i sesji
Testy mobilne
MobSF
Statyczna i dynamiczna analiza
Frida
Instrumentacja w czasie działania
Objection
Badanie aplikacji na urządzeniu
OWASP MASVS
Standard, według którego testujemy
03 / Podejście
Zaczynamy od tego, jak działa wasz produkt i kto mógłby go zaatakować – czas testów idzie tam, gdzie to ważne.
Skanery do podstaw; inżynier do kontroli dostępu, błędów logiki i izolacji klientów, gdzie skanery są ślepe.
Każdy problem z wpływem, krokami odtworzenia i konkretną poprawką w waszym stacku – gotowy do zgłoszenia.
Po poprawkach testujemy ponownie i aktualizujemy raport jako dowód, że luki są zamknięte.
04 / Standardy
Trzymamy się standardów branżowych i sprawdzonych metod w każdym projekcie – to właśnie dzięki nim wycena pozostaje realistyczna.
05 / Infrastruktura
Dobre pytania
Konkretne odpowiedzi na pytania klientów przed startem.
Wszystko, do czego może dotrzeć atakujący: uwierzytelnianie i sesje, kontrolę dostępu między użytkownikami i tenantami, obsługę danych wejściowych, logikę biznesową, API, przesyłanie plików, sekrety i konfigurację. WNC testuje według OWASP Top 10, OWASP API Security Top 10, a w aplikacjach mobilnych – OWASP MASVS, i uzgadnia z wami dokładny zakres przed rozpoczęciem testów.
Powiązane realizacje
Nasze projekty i produkty, w których była ta usługa.
Start
Napiszcie, co chcecie przetestować. Senior inżynier odpowie z uczciwym zakresem i ceną.
Let’s manage Zobaczcie bezpieczeństwo AI i red teaming
