01
Поверхность атаки и лишние точки входа
Домены, поддомены, внешние сервисы, панели, открытые порты, забытые маршруты и всё, что делает проект шире для атакующего, чем кажется внутри команды.
Аудит безопасности • Пентест
0day.cyou
Ваш сервис должен выдерживать не только релиз, но и атаку.
Проверяю веб-приложения, API и внутренние панели так, чтобы было видно, где у вас реальный риск. На выходе — понятный отчёт: что критично, что чинить в первую очередь и на что правда стоит обратить внимание.
Ручной аудит веб‑сервисов, API, админок и критичных сценариев.
Что проверяется
Проверка строится вокруг реальных точек взлома, а не вокруг красивого чеклиста.
Каждая секция делает одну работу: показать, где именно сервис теряет устойчивость и что с этим делать дальше.
02
Доступы, роли и ошибки авторизации
IDOR, broken access control, обход ролей, слабая сегментация, проблемы с сессиями и токенами — всё, что позволяет зайти дальше, чем должен пользователь.
03
Критичная бизнес‑логика и денежные сценарии
Платёжные потоки, backoffice, API-интеграции, sensitive data и функционал, где одна ошибка превращается не в баг-репорт, а в реальный убыток или утечку.
На выходе
Отчёт, который можно сразу отдавать в разработку и менеджмент.
Без декоративных PDF ради PDF. Только приоритет, влияние на бизнес, шаги воспроизведения и понятный ориентир по фиксам.
Severity + impact
Понятно, что критично сейчас, а что можно планировать.
Repro steps
Чтобы команда не гадала, как именно повторить проблему.
Fix hints
Чтобы закрывать риск быстрее, а не спорить о формулировках.
FAQ
Коротко по важному.
Без лишнего текста и без попытки спрятать смысл под маркетинг.
С какими проектами работаешь?
SaaS, финтех, кабинеты клиентов, внутренние панели, Telegram/web‑продукты, API‑сервисы и проекты с критичными flow.
Можно ли начать с маленького scope?
Да. Можно проверить одну зону: авторизацию, API, админку, платёжный сценарий или внешний perimeter.
Нужен ли доступ к коду?
Не обязательно. Во многих случаях достаточно тестового или прод‑стенда и корректно согласованного объёма проверки.
Нужно понять реальный риск до инцидента, а не после?
Оставьте заявку и обсудим формат проверки под ваш продукт.