Пентест сайта: цена, что входит и как читать отчёт

Пентест сайта — это ручная проверка, при которой специалист с согласия владельца пытается найти и подтвердить уязвимости: получить чужие данные, повысить права, обойти оплату. По нашему прайсу внешний экспресс-аудит без доступа к коду стоит 29 900 ₽ и занимает неделю, полноценный пентест одного веб-приложения с тремя ролями — 129 000 ₽ и 2–3 недели, комплексный пентест приложения вместе с серверами и исходным кодом — от 289 000 ₽. Цену определяет не размер сайта, а число ролей, методов API и сценариев бизнес-логики, которые нужно проверить руками.

Пентест, сканер и аудит — в чём разница

Сканер полезен как первая линия: он дешёвый и быстрый. Бесплатную внешнюю проверку можно запустить в нашем инструменте «Проверка сайта на взлом». Но самые дорогие ошибки — когда клиент А видит заказы клиента Б, поменяв число в адресе, — сканер не находит, потому что не знает, какие данные чьи. Для этого нужен человек, который понимает логику приложения.

Что входит в пентест веб-приложения

Мы работаем по методике OWASP WSTG — это открытый каталог проверок для веб-приложений. В полноценный пентест входит:

• Права по ролям. Для каждой роли — гость, клиент, менеджер, администратор — проверяется, к каким данным и действиям есть доступ и где он лишний.
• Бизнес-логика. Повторная оплата, отрицательное количество в корзине, двойное применение скидки, пропуск шага подтверждения.
• Вход и сессии. Восстановление пароля, двухфакторная проверка, срок жизни сессии, выход на всех устройствах.
• Инъекции и XSS. SQL, команды ОС, шаблоны, межсайтовый скриптинг — особенно в полях, которые потом видят администраторы.
• Загрузка файлов. Импорт Excel, аватары, документы: можно ли загрузить исполняемый файл или получить чужой.
• Повторная проверка. После исправлений подтверждается, что каждая находка закрыта и рядом ничего не сломалось.

Сколько стоит пентест и от чего зависит цена

Цену поднимают:

• дополнительные роли пользователей — каждая роль добавляет набор проверок прав;
• для SaaS — проверка изоляции арендаторов, может ли одна компания-клиент видеть данные другой (34 900 ₽);
• отдельный набор сценариев бизнес-логики: оплаты, бонусы, промокоды, лимиты (29 900 ₽);
• углублённая проверка входа: единый вход, OAuth, приглашения сотрудников (19 900 ₽);
• проверка загрузки и обработки файлов (14 900 ₽).

Пример: облачный сервис для бухгалтерий с четырьмя ролями. «Орбита» + дополнительная роль + изоляция арендаторов + сценарии бизнес-логики — 208 700 ₽ и 3–4 недели. Собрать свою конфигурацию можно на странице пентеста веб-приложения.

Как подготовиться к пентесту

1. Определите границы. Какие домены, поддомены и IP-адреса входят в проверку, что исключено. Как согласовать диапазоны адресов и исключения, разобрано в статье «Пентест сайта: IPv4-границы и исключения».
2. Выберите стенд. Проверка на копии с тестовыми данными безопаснее для бизнеса. Если проверка идёт на рабочем сайте, согласуйте окна, лимиты нагрузки и запрет на действия, которые меняют реальные данные: настоящие оплаты, рассылки клиентам.
3. Дайте учётные записи. По одной-две на каждую роль, включая администратора. Для SaaS — две разные компании, чтобы проверить изоляцию.
4. Подпишите договор и разрешение. В нём — границы, сроки, контакты для экстренной связи и порядок обращения с данными, к которым специалист может получить доступ.
5. Предупредите хостинг и тех, кто следит за безопасностью. Иначе проверку заблокируют как атаку на первом часу.

Что должно быть в отчёте

Хороший отчёт читают два человека: руководитель — чтобы понять риск и бюджет, разработчик — чтобы исправить. Поэтому в нём две части.

Отчёт со списком из 200 пунктов от сканера без приоритетов и шагов воспроизведения — не пентест. Как и отчёт «уязвимостей не найдено» без перечня того, что именно проверяли.

Что исправлять первым

После отчёта у команды обычно больше находок, чем времени. Порядок исправления определяется не только оценкой критичности, но и тем, что именно под угрозой в вашем бизнесе.

1. Доступ к чужим данным и повышение прав. Клиент видит чужие заказы, менеджер выполняет действия администратора. Это исправляют сразу, даже если оценка по шкале средняя: утечка персональных данных — это штрафы и потеря доверия.
2. Обход оплаты и бизнес-логики. Двойная скидка, отрицательное количество, пропуск подтверждения — прямые деньги.
3. Инъекции и XSS в административных разделах. Через них атакующий получает сессию сотрудника и всё, что ему доступно.
4. Устаревшие компоненты с известными уязвимостями. Обновление часто простое, но требует проверки на копии.
5. Заголовки, настройки cookie, информационные утечки. Важно, но редко срочно.

После исправлений закажите повторную проверку: в пакет пентеста она входит. Повторная проверка нередко находит, что исправление закрыло один путь к уязвимости, а соседний остался открыт. Если в команде нет времени на исправления, их можно передать нам отдельной задачей — 24 000 ₽ за 10 часов работы.

Как выбрать исполнителя

Попросите пример обезличенного отчёта и посмотрите, есть ли в нём шаги воспроизведения и раздел «что проверено». Уточните, кто именно будет проверять — человек или только сканер, — и входит ли повторная проверка. Договор должен описывать границы, порядок обращения с данными и конфиденциальность результатов: отчёт о пентесте сам по себе чувствительный документ.

Когда заказывать

• Перед запуском личного кабинета, SaaS или сервиса с оплатой.
• Когда крупный клиент прислал анкету безопасности и просит подтвердить проверку.
• После серьёзной переработки прав доступа или авторизации.
• После инцидента — чтобы найти, как злоумышленник попал внутрь, и закрыть соседние двери. Если сайт уже взломан, сначала нужна помощь после взлома, а пентест — после восстановления.
• Регулярно, раз в год или после крупных релизов, если приложение хранит персональные или платёжные данные.