Standard Web Application & API Penetration Test
Комплексный пентест для мультитенантного SaaS. Тестирование REST API, изоляции между тенантами, IDOR/BOLA. Повторная проверка после исправлений входит в стандарт.
Комплексный пентест для мультитенантных SaaS-платформ. Включает тестирование веб-приложения с аутентификацией и без, тестирование безопасности REST API в соответствии с OWASP API Security Top 10 (2023), тестирование изоляции между тенантами, построение матрицы авторизации по нескольким ролям и тенантам, тестирование IDOR и BOLA по всей API-поверхности, ошибки бизнес-логики и глубокий разбор безопасности сессий. Повторная проверка после исправлений входит в стандарт и проводится в течение 60 дней. 8–12 человеко-дней, поставка примерно за 3 недели. От $4 500.
Зачем это нужно
Кто требует это от вас
- 01
ISO/IEC 27001:2022 Annex A.8.29 + A.8.8 — полный набор доказательств для аудита
- 02
SOC 2 Trust Services Criteria — CC4.1, CC6.1, CC7.1, CC7.2, A1.2
- 03
Корпоративные ревью безопасности поставщика для B2B SaaS в регулируемых отраслях
- 04
Статья 32 GDPR — для B2B-платформ, обрабатывающих персональные данные граждан ЕС
- 05
Андеррайтеры кибер-страхования уровня SMB и выше — заявка на полное покрытие
- 06
PCI DSS 4.0, требование 11.4 — для платёжных платформ
Что вы получаете
Тестирование безопасности REST API (OWASP API Security Top 10:2023)
- API1: Broken Object Level Authorization (BOLA / IDOR)
- API2: Broken Authentication
- API3: Broken Object Property Level Authorization
- API5: Broken Function Level Authorization
- API7: Server Side Request Forgery
- Уязвимости mass assignment
- Rate limiting и потребление ресурсов
- Механизмы аутентификации JWT, OAuth, API-ключи
Тестирование изоляции между тенантами
- Построение матрицы авторизации (роли × эндпоинты × тенанты)
- Попытки доступа к данным другого тенанта (IDOR / BOLA через границы тенантов)
- Тестирование тенантности на поддоменах, по пути и по заголовку
- Изоляция тенантов при хранении и получении файлов
- Ограничение области поиска и индексации по тенанту
Результаты (всё из уровня 2 плюс)
- Полный отчёт о пентесте (обычно 30–60 страниц) с отдельными разделами по API и мультитенантности
- Раздел с привязкой к комплаенсу (ISO 27001 / SOC 2 / ст. 32 GDPR)
- Приоритизированная дорожная карта устранения с оценкой трудозатрат
- Подписанное Attestation Letter (можно выделить для файла безопасности поставщика)
- Повторная проверка после исправлений включена в стандарт (назначается через 30–60 дней после отчёта)
- Дельта-отчёт по повторной проверке со статусом устранения каждой находки
- Сессия передачи аудитору (60 минут, по Zoom)
- Ответы на вопросы службы безопасности конечного заказчика
Что будет, если этого не сделать
Наш процесс
- 1Звонок по объёму (60 минут)
Подтверждаем целевые активы, модель тенантности, эндпоинты API, роли пользователей, периоды запрета тестирования.
- 2Предпроектная документация
Взаимный NDA, Statement of Work, Rules of Engagement и DPA, если в объём входят персональные данные — всё подписывается.
- 3Выдача доступа к тестовому окружению
Несколько тестовых учётных записей по разным ролям и тенантам.
- 4Активное тестирование (8–12 человеко-дней за 2–3 недели)
Ежедневные апдейты по защищённому каналу. Критические находки эскалируются в течение 4 часов.
- 5Поставка отчёта и Attestation Letter
Зашифрованный архив + сессия передачи аудитору (60 минут в Zoom).
- 6Повторная проверка (через 30–60 дней после отчёта)
Дельта-отчёт подтверждает статус устранения каждой находки.
Подходит ли вам этот пентест?
Выбирайте этот уровень, если…
- У вас мультитенантная SaaS-платформа
- В продукт входят REST API
- Вам нужны доказательства SOC 2 Type II по CC4.1, CC7.1
- Область действия вашей СУИБ по ISO 27001 покрывает всю SaaS-платформу
- Вы имеете дело с корпоративными отделами закупок, которые внимательно читают отчёты о пентестах
- Вам нужна включённая в стандарт повторная проверка после исправлений
Типичные ситуации
«Каждая корпоративная сделка теперь включает анкету SIG Lite или CAIQ с вопросами о нашем пентесте. Нам нужен отчёт, который выдержит проверку службы безопасности.»
«Наша аудиторская фирма хочет доказательства пентеста, покрывающие аудируемый период. Нужен объём на всё продакшен-окружение.»
«Наш REST API доступен клиентам, партнёрам и сторонним интеграциям. Нужно нормальное тестирование безопасности API по OWASP API Security Top 10.»
«Мы в объёме SAQ D. Нужно внешнее тестирование и тестирование уровня приложения по требованию 11.4 PCI DSS.»
С какими запросами приходят покупатели
Те, кто попадает на эту страницу, обычно искали: «пентест SaaS», «тестирование безопасности мультитенантности», «пентест REST API», «пентест для SOC 2», «пентест для PCI DSS» или «пентест корпоративного SaaS».
Наш Standard Pentest за $4 500 подходит для всех этих сценариев. Если ваша платформа крупнее (Series C и выше, с облачной инфраструктурой, интеграциями, асинхронной обработкой), рассмотрите Enterprise SaaS Pentest (от $8 000).
Когда стоит выбрать другой уровень
| Признак | Рекомендуемая услуга |
|---|---|
| Одно веб-приложение, без REST API | Focused Pentest ($1 800) |
| Enterprise с облаком и интеграциями | Enterprise Pentest ($8 000) |
| Безопасность AI/LLM-приложения | AI Red Team ($990) |
| Комплексный аудит перед IPO | Enterprise Pentest ($8 000) |
Частые вопросы об этом уровне
Standard Pentest охватывает мультитенантную SaaS-платформу, REST API, матрицу авторизации и изоляцию между тенантами; повторная проверка включена.
Да. Отчёт включает доказательства по CC4.1, CC6.1, CC7.1, CC7.2 и A1.2, а также подписанное Attestation Letter.
Тестируем JWT, OAuth и API-ключи, а также аутентификацию и авторизацию по ролям, эндпоинтам и тенантам.
Бэкенд и REST API мобильного клиента могут войти в объём; само мобильное приложение подключается отдельным модулем.
Проверка облачной инфраструктуры AWS, GCP или Azure подключается как отдельный модуль.
Цена и сроки
От $4 500 за мультитенантный SaaS средней сложности с REST API. До $6 500 за более сложные платформы с несколькими типами пользователей, обширной API-поверхностью или сложной бизнес-логикой. Дополнительные модули: OWASP LLM Top 10 +$2 000–3 000; ревью исходного кода +$2 500–4 000; мобильное приложение +$3 500–5 500; проверка облачной инфраструктуры +$1 500–3 000. Точная сумма фиксируется в Statement of Work после звонка по объёму.
Последняя проверка: 24 августа 2026Частые вопросы
Платформа считается мультитенантной, если обслуживает несколько клиентов с разделением данных по поддомену, пути, заголовку или иной tenant-модели.
Да. Объём рассчитан на доказательства SOC 2 Type II и включает тестирование контролей, отчёт и Attestation Letter.
Нет. OWASP LLM Top 10 подключается отдельным модулем за $2 000–3 000.
Проверка облачной инфраструктуры подключается отдельным модулем за $1 500–3 000.
Она включена в стандарт, проводится через 30–60 дней после отчёта и завершается дельта-отчётом по каждой находке.
Standard Web Application & API Penetration Test
OWASP API Security Top 10 (2023) · изоляция между тенантами · повторная проверка включена · 3 недели.
info@optimumcode.ru · Пн–Пт 10:00–18:00 EET