Аудит безопасности веб-сервиса

Скоро мы открываем веб-сервис, где есть личные кабинеты, оплата и загрузка документов, и до публичного старта хотим сторонний аудит защищённости. Команда писала код аккуратно, но авторы смотрят на него изнутри и часть рисков просто не замечают. Ищем человека, который оценит систему с позиции атакующего и прямо укажет, через что её реально пробить.

Работа — базовое тестирование на проникновение веб-части: вход и сессии, разделение прав между ролями пользователей, контроль вводимых данных, а также распространённые бреши — инъекции, XSS, доступ к чужим объектам по прямой ссылке, изъяны при загрузке файлов. Предоставим учётки с разным уровнем доступа и отдельный стенд, чтобы боевые данные не пострадали. Пригодится и беглая проверка заголовков безопасности, атрибутов cookie и сценария восстановления пароля.

Ключевой результат — грамотный отчёт, а не голый вывод автоматического сканера. По каждой уязвимости ждём понятное описание, степень опасности, наглядный пример использования, вероятный ущерб и конкретный совет по закрытию. Хорошо, если будет сжатая выжимка для руководителей и подробная часть для инженеров. В отклике укажите методологию, ориентировочные сроки и то, как вы бережно обходитесь с найденными секретами.