BEZPIECZNE OPROGRAMOWANIE W ERZE AI
Odezwiemy się w ciągu 24 godzin, żeby ustalić zakres i termin przeglądu — sprawdź skrzynkę (czasem także spam).
Jeden przegląd, cztery pytania: czy aplikację da się zaatakować, czy jej zależności są bezpieczne, czy jest gotowa na nowe przepisy UE i czy da się ją dalej rozwijać bez strachu przed każdą zmianą.
Uwierzytelnianie i uprawnienia, walidacja danych wejściowych, wstrzykiwanie zapytań, obsługa sesji i błędów, wycieki danych do logów. Punktem odniesienia są OWASP Top 10 i ASVS. Kod napisany z pomocą AI sprawdzamy tak samo uważnie jak pisany ręcznie.
Tworzymy listę wszystkich komponentów aplikacji (SBOM) i sprawdzamy je w bazach znanych podatności. Szukamy haseł, kluczy API i tokenów zapisanych w kodzie oraz w historii repozytorium.
Ustalamy, czy aplikacja podlega CRA, i sprawdzamy, czego jeszcze brakuje: SBOM, procesu zgłaszania i obsługi podatności, bezpiecznych ustawień domyślnych, aktualizacji bezpieczeństwa przez cały okres wsparcia.
Struktura i czytelność kodu, testy, przestarzałe wersje frameworków, dług techniczny, budowanie i wdrażanie (CI/CD). To decyduje, ile kosztuje każda kolejna zmiana — także poprawka bezpieczeństwa.
Przegląd patrzy na aplikację od środka, przez kod, i w krótkim czasie daje szeroki obraz. Nie zastępuje testów penetracyjnych ani pełnego audytu. Jeśli coś wymaga głębszego sprawdzenia, powiemy to wprost i zaproponujemy zakres.
Krótka rozmowa: czym jest aplikacja, kto jej używa, w jakiej technologii powstała i co jest dla Ciebie najważniejsze. Jeśli potrzebujesz, zaczynamy od podpisania NDA.
Dostajemy dostęp do repozytorium tylko do odczytu albo jego kopię — niczego nie zmieniamy w Twoich systemach. Łączymy narzędzia automatyczne z ręcznym przeglądem miejsc, w których błąd kosztuje najwięcej.
Na spotkaniu online pokazujemy, co znaleźliśmy, co jest pilne, a co może poczekać, i ile mniej więcej kosztuje naprawa. Zostawiamy krótkie podsumowanie z listą priorytetów.
Odpowiadamy w ciągu 24 godzin i ustalamy termin rozmowy.
Rozporządzenie UE 2024/2847 obejmuje produkty z elementami cyfrowymi wprowadzane na rynek UE — m.in. oprogramowanie sprzedawane klientom, aplikacje desktopowe i mobilne oraz urządzenia z oprogramowaniem. Czy dotyczy Twojej aplikacji, zależy między innymi od tego, jak trafia do klientów. To jedna z pierwszych rzeczy, które ustalamy.
Od 11 września 2026 r. producenci muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty. Od 11 grudnia 2027 r. obowiązują wszystkie wymagania, w tym bezpieczeństwo od etapu projektu, SBOM i aktualizacje bezpieczeństwa przez cały okres wsparcia produktu.
Przegląd nie jest oceną zgodności z CRA — pokazuje, gdzie są luki i od czego zacząć.
Z listą priorytetów możesz pracować z własnym zespołem. Jeśli wolisz, znajdziemy luki i je naprawimy — od pojedynczych poprawek po modernizację całego systemu.
Tak. Przegląd jednej aplikacji i omówienie wyników nic nie kosztują i do niczego nie zobowiązują.
Od rozmowy do omówienia wyników zwykle mijają około dwa tygodnie. Dokładny termin ustalamy po pierwszej rozmowie.
Pracujemy na dostępie tylko do odczytu, możemy przed startem podpisać NDA, a po przeglądzie usuwamy kopię kodu.
Najczęściej .NET, JavaScript/TypeScript (React, Next.js, Node.js) i PHP. Jeśli Twoja aplikacja powstała w czymś innym — napisz, sprawdzimy, czy możemy pomóc.
Nie. Pentest atakuje działającą aplikację z zewnątrz, przegląd analizuje kod od środka. Obie metody znajdują inne rodzaje problemów — po przeglądzie powiemy, czy pentest ma u Ciebie sens.
Sprawdzamy go tak samo uważnie, ale zwracamy szczególną uwagę na typowe błędy narzędzi AI: zmyślone biblioteki, przestarzałe wzorce, brak walidacji danych i sekrety wklejone w kod.
Bezpłatnie i bez zobowiązań.