Наш сайт — не просто витрина, а полноценное веб-приложение с личными кабинетами, платежами и внутренней логикой обработки заказов, поэтому вопрос безопасности для нас не формальность. Планируем крупное обновление и хотим заранее убедиться, что в текущей версии нет критичных дыр, которые всплывут уже после релиза. Нужен человек, который проведёт тест на проникновение: проверит вход и сессии, API, загрузку файлов, платёжные страницы, админку и внешние сервисы — вручную, с построением реальных цепочек атак, а не одним запуском сканера.
Отдельная часть задачи — запуск постоянной программы баг-баунти: что можно тестировать, как сообщать о находках, по какой шкале оценивать критичность и какое вознаграждение платить исходя из бюджета. Отчёты — в понятный процесс обработки, без потерянных писем.
Итог работы — письменный отчёт по пентесту: каждая уязвимость с описанием, шагами воспроизведения, доказательствами и советом, как её закрыть, по реальной опасности для бизнеса, плюс готовые правила программы баг-баунти.
Коротко о требованиях:
— опыт легального пентеста веб-приложений с примерами работ;
— умение оформить находки в понятный отчёт с приоритетами;
— опыт разработки правил и шкалы вознаграждений для баг-баунти;
— готовность объяснить главные находки на коротком созвоне.
Отдельная часть задачи — запуск постоянной программы баг-баунти: что можно тестировать, как сообщать о находках, по какой шкале оценивать критичность и какое вознаграждение платить исходя из бюджета. Отчёты — в понятный процесс обработки, без потерянных писем.
Итог работы — письменный отчёт по пентесту: каждая уязвимость с описанием, шагами воспроизведения, доказательствами и советом, как её закрыть, по реальной опасности для бизнеса, плюс готовые правила программы баг-баунти.
Коротко о требованиях:
— опыт легального пентеста веб-приложений с примерами работ;
— умение оформить находки в понятный отчёт с приоритетами;
— опыт разработки правил и шкалы вознаграждений для баг-баунти;
— готовность объяснить главные находки на коротком созвоне.
