Без доступа к коду
Публичные домены, TLS, DNS, HTTP-конфигурация и доступные сервисы. Внутреннее устройство приложения остаётся вне видимости.
§Сертификация
От заявки до публичного сертификата
От заявки до повторной проверки и выпуска сертификата — полностью онлайн. До начала тестирования согласуем ресурсы, доступы, допустимую нагрузку, стоимость и условия выпуска.
Что доступно при онлайн-проверке
Онлайн — способ проведения работ. Полнота проверки определяется доступами, а не только адресом сайта.
С тестовыми аккаунтами
Закрытые функции, API, роли и пользовательские сценарии. Используются согласованные тестовые данные и ограничения нагрузки.
С доступом к материалам
Репозитории, зависимости, конфигурации и подтверждающие документы. Передача доступов согласуется отдельно; секреты не отправляются в форме заявки.
Девять этапов
- 01 · ЧерновикУкажите ресурс, компанию и контакт. Дополнительные сведения можно добавить сразу или согласовать после заявки.
- 02 · ПоданаЗаявка регистрируется, ей присваивается номер, назначается команда проверки.
- 03 · Согласование областиПодтверждаем полномочия владельца, домены, компоненты, среду, исключения, окно тестирования и допустимую нагрузку. Фиксируем область до начала работ.
- 04 · Настройка доступовВы предоставляете доступы, которые требует уровень, — тестовые аккаунты, доступ к репозиторию только для чтения или облаку — по защищённым каналам.
- 05 · Автоматические проверкиАвтоматические проверки выполняются по периметру, приложению, зависимостям и коду в пределах области.
- 06 · Экспертная проверкаЭксперты выполняют ручные сценарии уровня: авторизация, изоляция, бизнес-логика, проверка подтверждающих материалов.
- 07 · Требуется действиеЕсли найдены риски, вы получаете закрытый отчёт с серьёзностью, влиянием, рекомендациями и сроком.
- 08 · Повторная проверкаУстранённые пункты перепроверяются. Critical должен быть закрыт; High — закрыт для V3 и V4.
- 09 · Сертификат выпущенПри выполнении условий выпуска публикуем сертификат и его страницу в реестре. Вы получаете бейдж и печатную сводку проверки.
Что вы получаете
01
Сертификат
Подписанная запись реестра с уникальным ID, уровнем, областью, результатом и сроком действия.
02
Страница сертификата
Публичная страница с областью, методами, датами, безопасным описанием результатов и исключениями. Для клиентов, партнёров и служб безопасности.
03
Бейдж и код для вставки
Бейдж для сайта и документов, который всегда ведёт на актуальный статус в реестре.
04
Сводка проверки
Короткая печатная сводка для закупок и анкет безопасности.
05
Закрытый отчёт
Полные находки с техническими деталями, влиянием и рекомендациями — никогда не публикуется.
Доступы по уровням
Мы никогда не просим вставлять секреты в текстовое поле. Доступы передаются по защищённым каналам и отзываются по окончании проверки.
| Требуемые доступы | V1 | V2 | V3 | V4 |
|---|---|---|---|---|
| Только публичные точки | ||||
| Временные тестовые аккаунты | — | |||
| доступ к репозиторию только для чтения | — | — | ||
| Конфигурация CI/CD и SBOM | — | — | ||
| доступ к облаку только для чтения | — | — | — | |
| Документация процессов | — | — | — |
Сколько это занимает
Сроки предполагают своевременное предоставление доступов и устранение рисков. Повторные проверки назначаются в течение пяти рабочих дней после вашего подтверждения.
- V1 · Surface Verified
- 1–2 рабочих дня
- V2 · Application Verified
- 1–2 недели
- V3 · Code Verified
- 2–4 недели
- V4 · Assured
- 4–8 недель
Когда требуется повторная проверка
О существенном изменении необходимо сообщить в течение десяти рабочих дней. Пока затронутые проверки не перепроверены, сертификат отображается как «Приостановлен».
- 01Замена механизма аутентификации или авторизации
- 02Новые компоненты в области: новый API, новое хранилище данных, новый облачный аккаунт
- 03Переезд к другому хостинг- или облачному провайдеру
- 04Инцидент безопасности, затронувший компоненты области
- 05Уязвимость уровня High или Critical, о которой сообщила третья сторона
Срок действия и продление
Каждый сертификат действует двенадцать месяцев с даты проверки. Продление — полная проверка по текущей редакции методологии; V4 включает ежеквартальные повторные проверки и непрерывный мониторинг периметра в течение срока действия.