Aplicação web extra
Outra aplicação web na mesma auditoria
Você tem um portal de clientes, um painel interno ou um segundo app além do seu site? Somamos à sua auditoria e testamos do mesmo jeito: à mão, com contas reais e cada correção verificada.
Pentest manual autenticado de uma aplicação web adicional (OWASP WSTG e ASVS): controle de acesso, sessão, lógica de negócio e injeções, com prova de conceito por achado e revisão de um segundo Lop.
- Duração
- Soma cerca de 1 semana
- Início
- Junto com a auditoria
a partir de US$2.500
Somado a Dig, Rabbit Hole ou Warren. Retestes: os mesmos da auditoria à qual é somado.
Somar um appJá assinou a auditoria? Você pode somar o app antes de começarmos.
É para você se
- Além do seu site você tem outro app com login próprio: portal de clientes, painel de parceiros ou sistema de agendamento.
- Esse app foi feito por outra equipe ou tem código próprio.
- Você já vai fazer Dig, Rabbit Hole ou Warren e quer cobri-lo na mesma auditoria.
O que revisamos
Que ninguém consiga entrar com a conta de outro nem ficar com uma sessão aberta.Autenticação, recuperação de senha, gestão de sessão e tokens.
Que as regras do seu negócio não possam ser burladas: preços, cupons, limites, etapas.Lógica de negócio: manipulação de parâmetros, condições de corrida e fluxos fora de ordem.
Que não dê para injetar código por um formulário ou um arquivo enviado.Injeções (SQL, XSS, templates), upload de arquivos e SSRF.
Como trabalhamos
Com o escopo
Escopo
Você nos diz qual é o app e nos dá 2 contas de teste por tipo de usuário.
O app entra na mesma autorização assinada; 2 contas por papel, até 2 papéis.
Durante a auditoria
Teste
Testamos à mão como o resto. Se algo for grave, avisamos no mesmo dia.
Pentest manual autenticado; aviso no mesmo dia diante de um achado crítico.
No encerramento
Relatório
Os achados entram no mesmo relatório, separados para você saber o que é de cada app.
Seção própria nos relatórios técnico e executivo da auditoria.
O que você recebe
- Os achados desse app, com quanto cada um pode custar.
- Achados com severidade CVSS, prova de conceito e impacto em dinheiro.
- Como corrigir cada um, passo a passo.
- Remediação por achado para a sua equipe ou o seu fornecedor.
- Cada correção testada de novo.
- Retestes com o mesmo prazo da auditoria.
Ver um relatório de exemploLimites do escopo
Inclui
- 1 app com login próprio ou código próprio.1 aplicação web adicional (login ou base de código próprios).
- Até 2 tipos de usuário (por exemplo, cliente e administrador).Até 2 papéis autenticados.
Não inclui
- Não se contrata sozinho: vai somado a Dig, Rabbit Hole ou Warren.Módulo de uma auditoria; não é vendido separado.
- Um subdomínio com o mesmo login e o mesmo código não conta como app extra: já entra na auditoria.Mesmo login e mesma base de código = mesmo ativo.
- Não corrigimos o código: isso o Lop Fix pode fazer.Sem remediação; disponível com Lop Fix.
Mais de 2 tipos de usuário ou um app muito grande? Passamos o preço fechado antes de assinar.
Perguntas antes de contratar
Como sei se meu app conta como extra?
Se tem login próprio ou foi feito por outra equipe com outro código, conta. Se é parte do mesmo site com o mesmo login, não. Na dúvida, vemos juntos antes de assinar.
Por que não dá para contratar sozinho?
Porque a auditoria já revisa o servidor e a nuvem onde o app vive. Sozinho, ficaria de fora o que mais quebra. Se você quer auditar um único app, isso é o Dig.
Você tem mais de um app?
Some à sua auditoria e receba tudo em um único relatório, com cada correção verificada.