'/%3E%3C/svg%3E){kind=small}
Testy penetracyjne aplikacji webowych
Testy penetracyjne aplikacji webowych i API według OWASP Top 10, ASVS i PTES od 6 000 zł netto (black box), grey box z jedną rolą od 9 999 zł netto. Raport z oceną CVSS i dowodami, retest do 30 dni i dostęp do platformy vulnerability management w cenie.
- Certyfikowani pentesterzy (OSCP, OSWE, OSEP)
- Retest do 30 dni w cenie
- Wgląd w postęp testów w platformie vulnerability management
- autoryzacja: 9 endpointów bez kontroli ról
- brak wstrzyknięć SQL · WAF wykryty (ModSecurity)
- KrytycznaIDOR: cudze faktury przez /api/invoices/{id}
- WysokaJWT akceptuje algorytm none
- ŚredniaBrak rate-limit na /api/auth/otp
- NiskaUjawnione wersje bibliotek JS
- 312endpointów
- 11znalezisk
- 2krytyczne
Testy penetracyjne aplikacji webowych i API od 6 000 zł netto sprawdzają, czy Twoją aplikację da się przejąć tak, jak zrobiłby to realny atakujący: bez konta (black box), z kontem użytkownika (grey box) albo z dostępem do kodu (white box). Najczęściej wybierany wariant grey box z jedną rolą kosztuje od 9 999 zł netto. Testujemy ręcznie według OWASP Web Security Testing Guide, OWASP ASVS i PTES, a wynikiem jest raport z dowodami, oceną CVSS i zaleceniami, retest do 30 dni i wgląd w postęp testu w platformie vulnerability management.
Oferujemy profesjonalne testowanie aplikacji webowych z wykorzystaniem metod White Box, Black Box oraz Grey Box. Nasze podejście pozwala na wszechstronną ocenę bezpieczeństwa aplikacji, zarówno z perspektywy zewnętrznego atakującego, jak i częściowo poinformowanego wewnętrznego użytkownika. Testy są przeprowadzane zgodnie z metodyką Penetration Testing Execution Standard (PTES), co gwarantuje dokładność i zgodność z międzynarodowymi standardami w dziedzinie bezpieczeństwa. Rezultatem przeprowadzonych testów jest szczegółowy raport w formie elektronicznej, który zawiera:
- opis wykrytych luk bezpieczeństwa,
- dowody potwierdzające ich istnienie,
- wskazówki dotyczące usunięcia wykrytych problemów,
- analizę potencjalnych konsekwencji wykorzystania wykrytych luk.
Podczas testów korzystamy z metodologii opartej na najlepszych praktykach opisanych w dokumencie „OWASP Testing Guide”, a także stosujemy metodyki OWASP TOP 10, OWASP Web Security Testing Guide oraz ASVS. Naszym celem jest identyfikacja błędów programistycznych, konfiguracyjnych i logicznych bez konieczności dostępu do kodu źródłowego aplikacji czy jej plików konfiguracyjnych. Implementacja standardu PTES umożliwia nam realizację kompleksowych testów penetracyjnych na najwyższym poziomie. Jeśli chcesz porównać ten test z innymi rodzajami pentestów, zobacz testy penetracyjne – pełny przewodnik, a o tym, co zmieniło się w atakach na aplikacje w ostatnim roku, piszemy w artykule testy penetracyjne aplikacji webowych w 2026 roku.
Co testujemy w aplikacji webowej: OWASP Top 10, ASVS, logika biznesowa
Test prowadzimy według OWASP Web Security Testing Guide i OWASP ASVS. Sprawdzamy wszystkie obszary, nie tylko OWASP Top 10.
Uwierzytelnianie i sesje
Siła haseł, MFA, odzyskiwanie konta, wygasanie sesji, tokeny. Sprawdzamy, czy da się przejąć konto bez znajomości hasła.
Autoryzacja
Dostęp między rolami i między użytkownikami (IDOR, eskalacja uprawnień). W naszej praktyce to najczęstsza podatność krytyczna.
Walidacja danych
SQL Injection, XSS, SSRF, wstrzykiwanie poleceń, upload plików. Każde pole wejściowe i każdy parametr żądania.
Logika biznesowa
Rabaty, limity, kolejność kroków, race conditions, których żaden skaner nie wykryje. Tu pentester myśli jak nieuczciwy klient.
API i integracje
REST, GraphQL, webhooki, klucze i tokeny w odpowiedziach. Szczegóły w sekcji o testach API poniżej.
Konfiguracja
Nagłówki, TLS, CORS, ujawnianie wersji i błędów, zależności z podatnościami. Błędy konfiguracji często otwierają drogę do reszty.
Elementy poddawane analizie
Testom poddane zostaną wszystkie dostępne formularze oraz punkty końcowe API, weryfikując ich odporność na powyższe klasy podatności, a także inne znane zagrożenia aplikacyjne. W szczególności analizie zostaną poddane następujące elementy:
- nagłówki HTTP zwracane przez serwer,
- pliki cookie i ich atrybuty bezpieczeństwa,
- osadzone skrypty JavaScript,
- czasy odpowiedzi serwera na różne typy zapytań,
- reakcja aplikacji na zmodyfikowane dane wejściowe (np. nagłówki HTTP, user-agent, manipulacje protokołem).
Testy manualne i automatyczne
Testy będą miały charakter zarówno manualny, jak i automatyczny – z wykorzystaniem sprawdzonych narzędzi do analizy bezpieczeństwa aplikacji webowych. Wśród wykorzystywanych narzędzi znajdą się m.in.:
- Burp Suite Professional,
- przeglądarki Firefox i Google Chrome,
- FFuF, Nuclei, SQLmap, Gobuster, Nikto,
- narzędzia dostępne w systemie Kali Linux.
Skanery znajdują znane wzorce. Podatności w logice, autoryzacji i przepływach biznesowych znajduje wyłącznie człowiek, dlatego większość czasu testu to praca ręczna.
Testy penetracyjne API: REST, GraphQL, uwierzytelnianie
Testujemy zarówno API, które zasila interfejs aplikacji, jak i API bez interfejsu: integracje partnerskie, aplikacje mobilne, webhooki. Zakres wyznacza OWASP API Security Top 10.
Zakres OWASP API Security TOP 10 (2019)
- API1: Broken Object Level Authentication
- API2: Broken User Authentication
- API3: Excessive Data Exposure
- API4: Lack of Resource & Rate Limiting
- API5: Broken Function Level Authorization
- API6: Mass Assignment
- API7: Security Misconfiguration
- API8: Injection
- API9: Improper Assets Management
- API10: Insufficient Logging & Monitoring
REST i uwierzytelnianie
Do testu API potrzebujemy dokumentacji (OpenAPI, Postman) lub przykładowych żądań i tokenów dla każdej roli. Sprawdzamy uwierzytelnianie (JWT, OAuth, klucze API), autoryzację między obiektami i funkcjami, limity zapytań, walidację danych i logikę operacji.
GraphQL i webhooki
W GraphQL weryfikujemy introspekcję schematu, autoryzację na poziomie pól i obiektów, złożoność i zagnieżdżenie zapytań oraz batching. W webhookach i integracjach z systemami zewnętrznymi sprawdzamy podpisy, powtórzenia żądań i to, czy klucze partnerów nie wyciekają w odpowiedziach.
Metodyka: OWASP WSTG, ASVS i PTES
Celem planowanych testów będzie identyfikacja luk bezpieczeństwa, w szczególności tych sklasyfikowanych w zestawieniach OWASP TOP 10 oraz OWASP API Security TOP 10.
Zakres OWASP TOP 10 (2021)
- A01: Broken Access Control
- A02: Cryptographic Failures
- A03: Injection
- A04: Insecure Design
- A05: Security Misconfiguration
- A06: Vulnerable and Outdated Components
- A07: Identification and Authentication Failures
- A08: Software and Data Integrity Failures
- A09: Security Logging and Monitoring Failures
- A10: Server-Side Request Forgery (SSRF)
OWASP ASVS 4.0.3, poziom 2
Dodatkowo aplikacja zostanie oceniona pod kątem zgodności z wytycznymi OWASP ASVS (Application Security Verification Standard) w wersji 4.0.3 – na Poziomie 2. Ocenie zostaną poddane między innymi następujące kategorie:
- V1: Architektura, projektowanie i modelowanie zagrożeń
- V2: Uwierzytelnianie
- V3: Zarządzanie sesją
- V4: Kontrola dostępu
- V5: Walidacja, sanityzacja i kodowanie danych
- V6: Kryptografia danych w spoczynku
- V7: Obsługa błędów i logowanie
- V8: Ochrona danych
- V9: Komunikacja
- V10: Złośliwy kod
- V11: Logika biznesowa
- V12: Pliki i zasoby
- V13: API i usługi sieciowe
- V14: Konfiguracja systemu
PTES i OWASP WSTG
PTES (Penetration Testing Execution Standard) porządkuje cały projekt: od ustalenia zakresu i zasad zaangażowania, przez rekonesans i modelowanie zagrożeń, po eksploatację i raport. OWASP Web Security Testing Guide daje listę konkretnych przypadków testowych dla każdej klasy podatności, dzięki czemu zakres testu jest powtarzalny i możliwy do audytu.
Poziom 2 ASVS to standard zalecany dla aplikacji przetwarzających dane osobowe, transakcje i dane biznesowe. Poziom 3 (aplikacje krytyczne, np. bankowe) uzgadniamy indywidualnie w wariancie white box.
Jak przebiega test aplikacji webowej krok po kroku
Od pierwszej rozmowy do raportu końcowego mija zwykle dwa do czterech tygodni. Pierwsze podatności widzisz w platformie już w pierwszych dniach testu.
- 01
Rozmowa o zakresie
Model testu, środowisko, termin, wycena z konkretną liczbą dni.
- 02
Formalności
Umowa i NDA elektronicznie, okno czasowe, osoba kontaktowa, ścieżka eskalacji.
- 03
Rekonesans i modelowanie zagrożeń
Technologie, role, punkty wejścia, najgorszy scenariusz dla biznesu.
- 04
Testy manualne
Pentester OSCP/OSWE weryfikuje ręcznie każdą klasę podatności. Podatności widzisz w platformie w dniu wykrycia.
- 05
Raport
Część zarządcza i techniczna, spotkanie omawiające wyniki z zespołem.
- 06
Retest
Weryfikacja poprawek, raport końcowy i certyfikat.
Pełny opis procesu, cennik wszystkich usług i lista rzeczy do przygotowania przed testem: testy penetracyjne. Uwagi końcowe: VIPentest Sp. z o.o. zastrzega sobie prawo do modyfikacji planu testów w zależności od bieżących potrzeb i ustaleń z klientem.
Cennik testów aplikacji webowych
Cena zależy od modelu testu (black, grey, white box), liczby ról i wielkości aplikacji. Poniżej widełki dla typowych zakresów.
| Wariant | Co obejmuje | Czas | Cena netto |
|---|---|---|---|
| Black box | bez kont, perspektywa anonimowego atakującego | 3–4 dni | od 6 000 zł |
| Grey box, 1 rola | konto użytkownika, pełny zakres OWASP WSTG | 5–7 dni | 9 999–15 000 zł |
| Grey box, 2–3 role | użytkownik, administrator, testy między rolami | 7–10 dni | 14 000–22 000 zł |
| White box lub 4+ ról | dostęp do kodu i architektury, wiele modułów | od 10 dni | od 22 000 zł |
Widełki dotyczą typowych zakresów. Cena rośnie z liczbą ekranów, endpointów, ról i środowisk. W cenie: raport zarządczy i techniczny, spotkanie omawiające, retest do 30 dni, certyfikat, dostęp do platformy vulnerability management.
Porównanie z pozostałymi usługami znajdziesz w zbiorczym cenniku testów penetracyjnych. Dokładną wycenę podajemy po bezpłatnej rozmowie o zakresie, zwykle tego samego dnia.
Co dostajesz w raporcie
Po zakończeniu testów dostarczony zostanie szczegółowy raport zawierający część zarządczą dla decydentów i część techniczną dla zespołu, który będzie naprawiał podatności.
Raportowanie podatności według istotności
Zidentyfikowane podatności, sklasyfikowane według poziomu istotności (Krytyczne, Wysokie, Średnie, Niskie oraz Informacyjne), co umożliwia szybkie zrozumienie priorytetów oraz zakresu ryzyk dla organizacji.
Szczegóły każdej podatności
- techniczny i biznesowy opis problemu,
- przypisany poziom ryzyka zgodny z uznanymi standardami (np. CVSS),
- możliwe skutki wykorzystania podatności przez osoby niepowołane,
- kroki umożliwiające odtworzenie podatności – zrzuty ekranu, komendy, payloady, logi itp.,
- przypisany identyfikator CWE, ułatwiający klasyfikację problemu w międzynarodowych rejestrach,
- odnośniki do źródeł zewnętrznych (np. OWASP, MITRE, CVE), które pozwalają na dalsze zgłębianie tematu lub weryfikację podatności.
Zalecenia i potwierdzenie dla audytora
Zalecenia dotyczące skutecznej mitygacji ryzyk, dopasowane do kontekstu organizacji i środowiska testowego – w tym wskazówki dotyczące konfiguracji, aktualizacji komponentów, zmian w logice aplikacji, ograniczeń dostępu czy wdrożenia mechanizmów detekcji i monitorowania.
Po reteście wystawiamy raport końcowy i certyfikat przeprowadzenia testu, który możesz przekazać klientowi, audytorowi lub załączyć do przetargu jako dowód niezależnej weryfikacji bezpieczeństwa.
Wgląd w test w platformie vulnerability management
Każdy klient dostaje dostęp do platformy vulnerability management VIPentest na czas testu i po nim: widzisz postęp testu, każda podatność pojawia się w dniu wykrycia z oceną CVSS, dowodem i rekomendacją, a po wdrożeniu poprawki zgłaszasz ją do retestu jednym kliknięciem. Raport i certyfikat pobierasz z tej samej platformy.
Dzięki temu zespół deweloperski może naprawiać podatności równolegle z trwającym testem, a nie dopiero po otrzymaniu raportu. Skraca to czas od wykrycia do naprawy o tygodnie.
Co widzisz w platformie
- etap testu i postęp prac w czasie rzeczywistym,
- każdą podatność w dniu wykrycia: CVSS, dowód, rekomendacja,
- status napraw i zgłaszanie do retestu jednym kliknięciem,
- raport zarządczy, techniczny i certyfikat do pobrania,
- dostęp przed startem testu, bez dodatkowych opłat.
Dla kogo: SaaS, e-commerce, software house, fintech
Testy penetracyjne aplikacji webowych zamawiają firmy, które wystawiają aplikację do internetu i odpowiadają za dane swoich użytkowników. Zakres dopasowujemy do branży i modelu biznesowego.
SaaS i platformy B2B
Wiele ról i wielu klientów w jednej instalacji. Sprawdzamy izolację danych między kontami i organizacjami, panel administracyjny oraz API, z którego korzystają integracje klientów.
E-commerce
Koszyk, rabaty, płatności i konta klientów. Testujemy logikę biznesową (manipulacja ceną, kuponami, statusem zamówienia) oraz ochronę danych osobowych i płatniczych.
Software house
Test przed wdrożeniem u klienta, raport jako załącznik do odbioru projektu. Zobacz testy penetracyjne dla software house i artykuł o ochronie pipeline CI/CD przed atakami na łańcuch dostaw.
Fintech i sektor regulowany
Aplikacje przetwarzające transakcje i dane wrażliwe. Test w zakresie ASVS poziom 2 lub 3, z raportem gotowym dla audytora, regulatora lub partnera bankowego. Zobacz testy penetracyjne dla bankowości i fintech.
Jak przygotować aplikację do testu
Im więcej dostaniemy przed startem, tym więcej czasu pentester spędzi na szukaniu podatności, a nie na czekaniu na dostępy.
Co jest potrzebne do rozpoczęcia testu
- adres aplikacji (środowisko testowe lub produkcyjne),
- konta testowe dla każdej roli, którą ma objąć test,
- informacja o środowisku: technologie, hosting, WAF, limity,
- dokumentacja API (OpenAPI, Postman) lub przykładowe żądania z tokenami,
- osoba kontaktowa po stronie technicznej i ścieżka eskalacji,
- przy white box dodatkowo dostęp do repozytorium kodu.
Środowisko testowe czy produkcja
Testy przeprowadzamy głównie na środowiskach testowych/staging (DEV/TEST), aby uniknąć wpływu na produkcję, ale za zgodą klienta możemy wykonywać wybrane działania także na środowisku produkcyjnym w ściśle kontrolowanych oknach serwisowych. Środowisko testowe powinno mieć tę samą wersję kodu i konfigurację co produkcja, inaczej część wyników nie będzie miarodajna.
Jeśli Twoja aplikacja ma także wersję mobilną, sprawdź testy penetracyjne aplikacji mobilnych: wspólny backend testujemy raz, w jednym projekcie.
Najczęściej zadawane pytania
Ile kosztują testy penetracyjne aplikacji webowych?
Od 9 999 zł netto za aplikację z jedną rolą użytkownika w modelu grey box. Test bez logowania od 6 000 zł, aplikacje z 2–3 rolami 14 000–22 000 zł, większe systemy z wieloma modułami od 22 000 zł, zależnie od wielkości. Dokładną wycenę podajemy po bezpłatnej rozmowie o zakresie.
Ile trwa test penetracyjny aplikacji webowej?
Czas trwania testu penetracyjnego aplikacji webowej zależy od jej wielkości i złożoności – średnio trwa od 3 do 10 dni roboczych. Proste aplikacje można przetestować w kilka dni, natomiast bardziej rozbudowane systemy z wieloma modułami, API lub integracjami wymagają nawet 2–3 tygodni pracy zespołu pentesterów.
Co otrzymam w ramach testu penetracyjnego aplikacji webowej?
W ramach testu penetracyjnego aplikacji webowej otrzymasz szczegółowy raport techniczny z wykrytymi lukami, dowodami (PoC) i rekomendacjami naprawczymi. Dodatkowo dostarczymy podsumowanie zarządcze (Executive Summary), ocenę ryzyka zgodnie z OWASP i CVSS, oraz – opcjonalnie – warsztat omówienia wyników dla zespołu IT i zarządu.
Jakie są różnice między testami Black Box, Grey Box i White Box?
Black Box – pentester nie ma żadnych informacji o systemie; test symuluje atak zewnętrzny z perspektywy anonimowego użytkownika. Grey Box – tester otrzymuje częściowy dostęp (np. konto użytkownika lub dokumentację API), co pozwala ocenić bezpieczeństwo głębiej, ale realistycznie. White Box – pełny dostęp do kodu źródłowego, architektury i konfiguracji; test koncentruje się na analizie logiki i podatności wewnętrznych.
Dlaczego grey box jest najbardziej optymalny?
Grey box łączy realistyczne podejście z efektywnością — tester ma ograniczone informacje (np. konto testowe lub dokumentację), co odzwierciedla typowe ataki wewnętrzne i zewnętrzne, a jednocześnie pozwala szybciej dotrzeć do istotnych słabości niż pełny white box. To najbardziej kosztowo-efektywna metoda przy testach penetracyjnych.
Jakie metodyki są używane podczas testów aplikacji webowej?
Podczas testów aplikacji webowych stosuje się uznane metodyki, takie jak OWASP ASVS (Application Security Verification Standard), OWASP Web Security Testing Guide, OWASP Top 10, PTES (Penetration Testing Execution Standard) oraz MITRE ATT&CK.
Na jakim środowisku odbywają się testy penetracyjne?
Testy przeprowadzamy głównie na środowiskach testowych/staging (DEV/TEST), aby uniknąć wpływu na produkcję, ale za zgodą klienta możemy wykonywać wybrane działania także na środowisku produkcyjnym w ściśle kontrolowanych oknach serwisowych.
Czy testujecie API bez interfejsu?
Tak. Do testu API potrzebujemy dokumentacji (OpenAPI, Postman) lub przykładowych żądań i tokenów dla każdej roli. Sprawdzamy uwierzytelnianie, autoryzację między obiektami, limity, walidację i logikę.
Co jest potrzebne do rozpoczęcia testu?
Adres aplikacji, konta testowe dla każdej roli, informacja o środowisku i osoba kontaktowa. Przy white box dodatkowo dostęp do repozytorium.
Jak śledzę postęp testu?
W platformie vulnerability management VIPentest: etap testu, znalezione podatności z dowodami w dniu wykrycia, status napraw i retestów, raport do pobrania. Dostęp dostajesz przed startem testu.
Czy retest jest w cenie?
Tak. Jeden retest do 30 dni od przekazania raportu jest częścią usługi. Po nim wystawiamy raport końcowy i certyfikat.
Czy po teście dostanę potwierdzenie dla klienta lub audytora?
Tak. Po reteście wystawiamy raport końcowy i certyfikat przeprowadzenia testu penetracyjnego, które pobierasz z platformy vulnerability management. Raport zawiera część zarządczą (executive summary) w języku biznesowym oraz część techniczną z oceną CVSS, identyfikatorami CWE i dowodami, więc możesz przekazać go klientowi, audytorowi ISO 27001 lub NIS2 albo załączyć do przetargu jako dowód niezależnej weryfikacji bezpieczeństwa aplikacji.
Co mówią klienci
AnonymousKlient VIPentest★★★★★Współpraca z VIPentest okazała się strzałem w dziesiątkę. Od początku wszystko było przejrzyste - jasny plan działania, szybka estymacja, wycena projektu i świetna komunikacja.
W trakcie testów udało się zidentyfikować poważną podatność, która - jak się okazało - mogła realnie wpłynąć na naszą działalność operacyjną. Na szczęście została szybko wykryta i szczegółowo opisana w raporcie, co pozwoliło nam błyskawicznie podjąć działania naprawcze i zminimalizować ryzyko.
MichałKlient VIPentest★★★★★Zespół przeprowadził kompleksowy test penetracyjny naszej aplikacji webowej oraz mobilnej i z pełnym przekonaniem możemy polecić ich usługi. Prace zostały wykonane w sposób profesjonalny, terminowy i zgodny z ustalonym zakresem. Raport końcowy był szczegółowy, klarowny i zawierał nie tylko opis wykrytych podatności, ale również konkretne rekomendacje naprawcze. Dodatkowo otrzymaliśmy wsparcie przy analizie wyników i planowaniu działań naprawczych. Zdecydowanie polecamy współpracę z tym zespołem wszystkim firmom, które traktują bezpieczeństwo swoich produktów na poważnie.
Sprawdź, ile kosztuje test w Twoim zakresie
Opisz aplikację, system lub organizację w krótkim formularzu. Oddzwonimy tego samego dnia z wyceną i planem testów. Bez zobowiązań, z NDA przed rozmową.
- Potwierdzenie zgłoszeniaOdpisujemy w ciągu 24 h w dni robocze i dopytujemy o zakres.
- Rozmowa o zakresie pod NDAUstalamy cele, środowisko, terminy i sposób dostępu.
- Wycena i plan testówZwykle tego samego dnia po rozmowie. Bez zobowiązań.
- Retest do 30 dni w cenie
- Raport gotowy dla audytora
- Platforma vulnerability management
Napisz do nas: bezpłatna wycena i konsultacja zakresu
Opisz krótko, co chcesz przetestować (aplikację, system, organizację). Odpowiadamy w ciągu jednego dnia roboczego.
