7 900 kr
App-sjekk
En fokusert førstetest av én webapp eller ett API, med to roller i ett miljø. Vi logger inn og ser etter det som betyr mest: kan noen nå data eller handlinger de ikke skal.
- Pris
- 7 900 kr eks. mva
- Leveringstid
- 3–5 virkedager
Gir ikke rapporten deg noe konkret å utbedre, betaler du ikke. Gjelder App-sjekk og Microsoft 365-gjennomgang. Kommer rapporten uten ett eneste funn med en konkret anbefaling, sender vi ingen faktura. Pentestene er ikke omfattet, fordi et attestbrev uten funn er en del av det dere kjøper. Overvåking og Glippen Løpende er heller ikke omfattet.
I praksis
Når App-sjekk er nok, og når den ikke er det
App-sjekk er riktig når dere vil vite hvor dere står før noen spør. Dere har en app med innlogging, kanskje flere kunder i samme installasjon, og ingen har testet den utenfra. To roller er nok til å svare på det viktigste spørsmålet: kan én bruker nå data eller handlinger som tilhører en annen.
Den passer også før en større test. Det App-sjekk finner, kan rettes før pentesten, så pentesten ikke bruker tiden på det samme en gang til.
Den er ikke nok når kunden eller et anbud ber om dokumentasjon. App-sjekk har ikke attestbrev, og rapporten skal ikke sendes ut, fordi den beskriver svakhetene i detalj. Ber kunden om å se at appen er testet, er det Pentest av app og API som gir dere et dokument å sende videre.
Den er heller ikke nok når flere enn to roller betyr noe, når hele API-et skal gjennomgås, eller når det finnes flere miljøer. Da er det pentesten som dekker det.
Er dere usikre, er spørsmålet hvem rapporten er til. Er den til dere selv, holder App-sjekk. Er den til kunden, trenger dere attestbrevet. Spør, så får dere svar innen én virkedag.
Fra oppdrag
Funn fra virkelige tester
Skrevet av Erik Nilsen etter autoriserte oppdrag. Navnene i skrivene er oppdiktet og detaljene sanert, funnene er fra ekte tester.
- Firebase-gulvet ga etter: når tenantsitteren bor i én samling
Ekstern test av en skattetjeneste på Firebase og Google Cloud Run, der en samling med brukerprofiler kunne leses ut i sin helhet og dokument-API-et lot en innlogget bruker se filoversikten til andre kunder og skrive filer hos dem.
- Da cross-tenant-funnet ikke overlevde verifisering
Et oppslag som så ut som et brudd mellom to kunder i en SaaS, falt bort da det ble prøvd fra en konto som ikke eide objektet, og skrivet viser hele verifiseringen og de tre funnene som ble forkastet.
- RLS beskytter raden, ikke rettigheten
To testkontoer viste at radnivåsikkerheten i en budsjettapp på Supabase stoppet IDOR, mens en betalt funksjon bare var sperret i grensesnittet og kunne slås på av brukeren selv.
Omfang
Omfanget
Hva som inngår
Til denne prisen, uten tillegg.
- Én webapp eller ett API, testet med to brukerroller i ett miljø
- Autorisasjon og IDOR: kan én bruker nå en annens data eller handlinger
- Tenant-isolasjon der appen har flere kunder
- Innloggings- og sesjonsflyt, de vanligste feilene
- Hemmeligheter som ligger igjen i frontend
- Ekstern sjekk av domenet appen kjører på: e-postsikkerhet, TLS, security headers og eksponerte filer
Ikke med i denne pakken
Lurer du på om noe er innenfor, spør. Du får svar innen én virkedag.
- Attestbrev til kunder og anbud. Det følger med pentestene
- Hele API-et, flere enn to roller eller flere miljøer. Det dekkes av Pentest av app og API
- Mobilapp, sky og internnett. Det får dere et skriftlig fastpristilbud på
Hva du får
- PDF-rapport med funn sortert etter alvorlighetsgrad, med konkrete tiltak
- Sammendrag på side 1 som kan videresendes til ledelsen
- Dokumentasjon per funn som utvikleren kan reprodusere: hvor, hvordan og hva som skjedde
- Skriftlig gjennomgang der du kan stille spørsmål
- Én retest innen 30 dager
Hva vi trenger fra deg
- En testbruker for hver av de to rollene, helst i et testmiljø
- URL-en til appen eller API-et som skal testes
- Bekreftelse på at testing er tillatt etter vilkårene til en eventuell driftsleverandør
- Leveringstid
- 3–5 virkedager
- Pris
- 7 900 kr eks. mva
Pris
Hva prisen betyr
Tallet over er prisen, eks. mva. Dere får den skriftlig før noe settes i gang, og da står den. Finner vi mer enn ventet innenfor avtalt omfang, koster det ikke mer.
Hvorfor prisen er fast står på sin egen side, sammen med hele prislisten.
Referanse
Fra en kunde som har hatt test
Glippen har hjulpet Datatax med å avdekke kritiske svakheter under utviklingen. Vi fikk en solid test av blant annet databaselogikk før lansering av Regnskap Next og kan anbefale alle bistand til å se om sikkerheten er optimal. Å se at Glippen fant potensielle svakheter var en vekker. Takk for samarbeid.
Spørsmål
Spørsmål om App-sjekk
Svarene er hentet fra det samme som prislisten: hva som inngår, hva som ikke gjør det, og hva vi trenger fra dere.
Hva er forskjellen på App-sjekk og en pentest?
App-sjekk er en første test av én webapp eller ett API, testet med to brukerroller i ett miljø, levert på 3–5 virkedager. Den svarer på om det som betyr mest holder: om én bruker kan nå en annens data.
Pentest av app og API går gjennom hele API-et, og har et attestbrev dere kan sende til kunden. Den koster 24 900 kr eks. mva for én applikasjon med API-et sitt, opptil fire brukerroller, i ett miljø. Ber kunden om dokumentasjon, er det pentesten dere trenger.
Hva koster App-sjekk?
Prisen er 7 900 kr eks. mva for én webapp eller ett API, testet med to brukerroller i ett miljø. Det er det dere betaler, og vi tar aldri mer enn det som står på siden.
Finner vi mer enn ventet, tar vi det med uten at det koster noe ekstra. Faktura sendes etter levering.
Hvor lang tid tar App-sjekk?
Vanligvis 3–5 virkedager. Testvinduet avtales skriftlig i scope-dokumentet.
Finner vi noe kritisk underveis, får du beskjed samme dag, uten å vente på rapporten.
Hva trenger dere fra oss for å komme i gang?
En testbruker for hver av de to rollene, helst i et testmiljø. URL-en til appen eller API-et som skal testes. Bekreftelse på at testing er tillatt etter vilkårene til en eventuell driftsleverandør.
Og en signatur på scope-dokumentet. Ingenting testes før det er på plass.
Hva er ikke med i App-sjekk?
Attestbrev til kunder og anbud. Det følger med pentestene. Hele API-et, flere enn to roller eller flere miljøer. Det dekkes av Pentest av app og API. Mobilapp, sky og internnett. Det får dere et skriftlig fastpristilbud på.
Lurer dere på om noe er innenfor, spør. Dere får svar innen én virkedag.
Er retest inkludert?
Ja. Én retest innen 30 dager.
Den ligger i prisen, og det kommer ingen egen regning for den. Holder rettingen ikke, sier vi fra om det også.
Les
Les videre
Én bruker kan nå data som tilhører en annen
Rette IDOR
Dere har fått et funn om at én bruker kan nå en annens data. Her er rekkefølgen som lukker det for godt, og de tre rettingene som ser riktige ut og ikke er det.
Svakhet
IDOR: når én bruker når en annens data
IDOR er den vanligste alvorlige feilen vi finner i norske webapplikasjoner. Her er hvordan den oppstår, hvorfor ingen skanner ser den, og hva som lukker den.
Svakhet
Tenant-isolasjon: når én kunde kan se en annen
Deler kundene deres samme installasjon, er isolasjonen mellom dem en av de få feilene som kan koste dere alle kundene samtidig. Her er hva som ryker, og hvorfor.
Krav fra kunder
Kunden ber om pentest-rapport
Kunden vil se pentest-rapporten, eller har sendt et sikkerhetsskjema med frist. Hva de egentlig spør om, hva dere sender, og hva som aldri skal sendes ut.
Videre
Klar til å bestille App-sjekk?
Vet du hva du trenger, tar bestillingen et par minutter, og du får svar innen én virkedag. Er du usikker, skriv et par ord i skjemaet eller send en e-post. Det er Erik som leser og svarer, og ikke med et møteforslag som første svar.
Eller skriv direkte til post@glippen.no