Границы и сценарии проверки
Согласуем домены, разделы, роли и типы проверок. Разбираем вход в аккаунт, работу с сессиями, доступ к данным и административные функции. Для веб-проверок используем применимые сценарии OWASP WSTG.
01 / КОНТЕКСТ
Когда имеет смысл подключиться
Подходит перед запуском нового сервиса, после крупных доработок, при смене подрядчика или для независимой проверки существующего сайта. Если взлом уже произошёл, сначала рассматриваем локализацию инцидента и очистку.
02 / СОСТАВ
Что входит в работу
Анализ уязвимостей и настроек
Проверяем конфигурацию и поведение приложения, доступность служебных ресурсов и ограничения прав. Автоматические находки проверяем в рамках согласованного объёма; один отчёт сканера не подменяет анализ.
Отчёт и проверка исправлений
Описываем подтверждение проблемы, затронутую функцию, возможное влияние и приоритет. Объём исправлений и повторную проверку согласуем отдельно либо включаем в план проекта.
ПОД ЗАДАЧУ И ПЛАТФОРМУ
Какие инструменты можем использовать
Выбираем инструменты после диагностики: по CMS, инфраструктуре, доступам и согласованному объёму. Это возможный набор, а не обещание применить все программы в каждом тарифе.
ZAP
Для проверки веб-приложения: запросов, ответов и возможных уязвимостей. Активные проверки запускаются только в согласованных границах; находки требуют ручного подтверждения.
Официальная документация ↗WPScan
Для сайтов на WordPress: сопоставление версий ядра, тем и плагинов с известными уязвимостями. Доступ к базе и условия коммерческого использования проверяем отдельно.
Официальная документация ↗1С-Битрикс: инструменты безопасности
Для проектов на 1С-Битрикс: доступные проверки безопасности и настройки проактивной защиты. Состав возможностей зависит от редакции, версии и состояния лицензии.
Официальная документация ↗До начала фиксируем выбранные инструменты и проверки. Платные лицензии, подписки и услуги провайдеров согласуем отдельно. Автоматический отчёт не заменяет анализ специалиста и проверку результата.
03 / ПРОЦЕСС
Как двигаемся к результату
- 01
Согласовать область
Фиксируем разрешение владельца, список ресурсов, тестовые учётные записи, окно проверки и ограничения на воздействие.
- 02
Проверить гипотезы
Сопоставляем результаты инструментальных и ручных проверок. Сохраняем необходимое подтверждение без избыточного сбора клиентских данных.
- 03
Разобрать приоритеты
Передаём отчёт, обсуждаем очередь исправлений и критерии повторной проверки.
04 / НА ВЫХОДЕ
Что вы получаете
Отчёт с подтверждёнными наблюдениями, ограничениями проверки и приоритетным планом устранения. Он помогает распределить работу между разработчиком, администратором и владельцем продукта; не является гарантией отсутствия всех уязвимостей.
Оценка зависит от объёма, состояния проекта и доступных материалов. До начала работ согласуем границы задачи и способ приёмки.
СТОИМОСТЬ / РАЗОВЫЕ РАБОТЫ
Проверка сайта в заранее согласованных границах.
Аудит безопасности
от450₼ разово
Что входит в работу
- Один сайт и согласованный перечень ресурсов
- Проверка доступных настроек, ролей и компонентов
- Подтверждения обнаруженных проблем
- Приоритетный отчёт и обсуждение рекомендаций
Что не входит в базовую стоимость
- Полноценный пентест всей инфраструктуры без отдельного задания.
- Внедрение исправлений и постоянный мониторинг.
Как считаем работы и согласуем стоимость
Часы технических работ учитываются по 15 минут. Превышение лимита — только после согласования. Неиспользованные часы не переносятся. Исправления наших ошибок в согласованный гарантийный период лимит не расходуют.
Дополнительная веб-разработка и поддержка — 70 ₼/час, профильные работы с 1С — 90 ₼/час. Разовая консультация — 80 ₼/час. До начала дополнительной задачи согласуем оценку и применимую ставку.
SEO и подготовка согласованных материалов не списываются из часов технической поддержки. Один и тот же материал в SEO и ИИ-продвижении повторно не оплачивается.
Точное содержание, сроки, доступы, порядок реакции, условия применимых налогов и итоговую сумму фиксируем в предложении до договора. Цены «от» действуют для описанного базового объёма; более сложные проекты оцениваются отдельно. Продажа лицензий не входит в услуги CODERUHA.
Позиции, количество заявок и попадание в ответы ИИ не гарантируются. Форма на сайте отправляет запрос на обсуждение, а не оформляет покупку или обязательную подписку.
05 / ВОПРОСЫ
Перед началом
Аудит и пентест — одно и то же?
Аудит может включать проверку конфигурации, документов и защитных сценариев. Веб-пентест делает акцент на практической проверке путей воздействия. Конкретные методы, глубину и ограничения фиксируем до начала, а не определяем только названием услуги.
Можно проверять рабочий сайт?
Возможность зависит от методов и допустимого риска. Предпочтительный контур и ограничения согласуем заранее. Нагрузочное воздействие не выполняется автоматически как часть аудита.
Исправления входят в аудит?
Базовый результат — диагностика и отчёт. Разработку исправлений и повторный аудит можно включить в согласованный объём или заказать отдельно.
Проверите сайт без доступов?
Часть внешних проверок возможна без административного доступа. Для анализа внутренних настроек, ролей и причин проблем понадобятся дополнительные сведения и права.