--- title: Pentest av app og API description: Vi tester applikasjonen og API-et deres som innloggede brukere, med opptil fire roller, og ser etter det som lar noen nå data eller handlinger de ikke skal. Dere får et attestbrev som kan sendes til kunden. updated: 2026-11-02 canonical: https://glippen.no/tjenester/pentest --- # Pentest av app og API Vi tester applikasjonen og API-et deres som innloggede brukere, med opptil fire roller, og ser etter det som lar noen nå data eller handlinger de ikke skal. Dere får et attestbrev som kan sendes til kunden. - Pris: 24 900 kr eks. mva - Omfang: Én applikasjon med API-et sitt, opptil fire brukerroller, i ett miljø - Leveringstid: 1–2 uker - Side: https://glippen.no/tjenester/pentest ## Laget for SaaS med mange kunder i samme løsning Testen er laget for programvareselskaper som selger en SaaS-løsning, der mange kunder deler samme installasjon. Det en større kunde vil vite om en slik løsning, er om deres data er utilgjengelig for de andre kundene, og om en bruker bare kan gjøre det rollen tillater. Det er det testen ser etter først. Tenant-isolasjon testes med to testkunder, ikke med to brukere hos samme kunde. Vi går gjennom løsningen som den ene og prøver å nå det samme som den andre, også i rapporter, eksporter, søk og vedlegg, der vi oftest finner feilen. I hvert endepunkt er spørsmålet om kundetilhørigheten leses fra sesjonen eller fra noe klienten sender inn. Med opptil fire roller prøves hver rolle mot de andre: kan en vanlig bruker gjøre det en administrator kan, kan den som bare skal lese, endre noe. API-et testes for seg, fordi skjermbildet bare viser det brukeren skal se, mens endepunktet bak må kontrollere det selv. Attestbrevet er det dere sender videre. Det sier hva som ble testet, når, hvordan og av hvem, og hvor mange funn det ble i hver alvorlighetsgrad. Det sier ikke at løsningen er sikker. Det kan ingen test si, og et brev som prøver, er verdt mindre hos en kunde som kan faget. Leveringstiden regnes fra omfanget er signert og testbrukerne virker. Finner vi noe kritisk underveis, får dere beskjed med en gang, ikke i rapporten. Etter rapporten kommer en skriftlig gjennomgang, og når dere har rettet, en retest og et nytt attestbrev som viser hva som er lukket. ## Hva som inngår - Én applikasjon med API-et sitt, opptil fire brukerroller, i ett miljø - Autorisasjon og IDOR: kan én bruker eller rolle nå en annens data eller handlinger - Tenant-isolasjon der appen har flere kunder - API: BOLA, mass assignment og rate limiting - Innloggings- og sesjonsflyt - Hemmeligheter som ligger igjen i frontend - Ekstern sjekk av domenet: e-postsikkerhet, TLS, security headers og eksponerte filer som .git og .env - Kjente sårbarheter i det som er synlig utenfra ## Ikke med i denne pakken - Flere applikasjoner, flere enn fire roller eller flere miljøer. Det dekkes av Pentest av større plattform - Microsoft 365. Det er en egen gjennomgang - Mobilapp, sky og internnett. Det får dere et skriftlig fastpristilbud på ## Hva du får - PDF-rapport med funn sortert etter alvorlighetsgrad, med konkrete tiltak - Sammendrag på side 1 som kan videresendes til ledelsen - Dokumentasjon per funn som utvikleren kan reprodusere: hvor, hvordan og hva som skjedde - ZIP-fil med proof of concept og bevismateriale for hvert funn - Attestbrev på én side, på norsk og engelsk: hva som ble testet, når, metode, hvem som testet, funn per alvorlighetsgrad og hva som er lukket og verifisert på nytt - Skriftlig gjennomgang der du kan stille spørsmål - Én retest innen 60 dager, og et nytt attestbrev etter den ## Hva vi trenger fra deg - En testbruker for hver rolle som skal testes, helst i et testmiljø - URL-en til appen og API-et, og API-dokumentasjon hvis dere har den - Bekreftelse på at testing er tillatt etter vilkårene til en eventuell driftsleverandør ## Spørsmål og svar **Hva er attestbrevet, og kan vi sende det til kunden?** Ja, det er det det er til. Attestbrevet er én side, på norsk og engelsk: hva som ble testet, når, etter hvilken metode, hvem som testet, antall funn per alvorlighetsgrad og hva som er lukket og verifisert på nytt. Det kan sendes til kunden eller legges ved et anbud. Rapporten beholder dere selv, fordi den beskriver svakhetene i detalj. Etter retesten innen 60 dager får dere et nytt attestbrev som viser hva som er lukket. **Hva koster Pentest av app og API?** Prisen er 24 900 kr eks. mva for én applikasjon med API-et sitt, opptil fire brukerroller, i ett miljø. Det er det dere betaler, og vi tar aldri mer enn det som står på siden. Finner vi mer enn ventet, tar vi det med uten at det koster noe ekstra. Faktura sendes etter levering. **Hvor lang tid tar Pentest av app og API?** Vanligvis 1–2 uker. Testvinduet avtales skriftlig i scope-dokumentet. Finner vi noe kritisk underveis, får du beskjed samme dag, uten å vente på rapporten. **Hva trenger dere fra oss for å komme i gang?** En testbruker for hver rolle som skal testes, helst i et testmiljø. URL-en til appen og API-et, og API-dokumentasjon hvis dere har den. Bekreftelse på at testing er tillatt etter vilkårene til en eventuell driftsleverandør. Og en signatur på scope-dokumentet. Ingenting testes før det er på plass. **Hva er ikke med i Pentest av app og API?** Flere applikasjoner, flere enn fire roller eller flere miljøer. Det dekkes av Pentest av større plattform. Microsoft 365. Det er en egen gjennomgang. Mobilapp, sky og internnett. Det får dere et skriftlig fastpristilbud på. Lurer dere på om noe er innenfor, spør. Dere får svar innen én virkedag. **Er retest inkludert?** Ja. Én retest innen 60 dager, og et nytt attestbrev etter den. Den ligger i prisen, og det kommer ingen egen regning for den. Holder rettingen ikke, sier vi fra om det også. Dette er katalogen og spørsmålene fra siden. Resten av teksten står på https://glippen.no/tjenester/pentest.