1. Scope e autorizzazione
Definiamo per iscritto domini, sottodomini, applicazioni, finestre temporali e limiti del test. Senza autorizzazione firmata non partiamo. Output: documento di scope firmato.
Penetration test web · Da €490, IVA esclusa
Penetration test web esterno, con validazione manuale e attestazione firmata
Un penetration test web verifica siti e applicazioni dall'esterno, con il metodo di un attaccante autorizzato. Ti consegniamo cosa è stato testato, cosa è sfruttabile davvero, in quale ordine correggerlo e una lettera di attestazione firmata da allegare a gare, clienti o auditor.
Che cos'è un penetration test web
Un penetration test è un test di sicurezza autorizzato e controllato. Non si limita a elencare possibili problemi: prova a sfruttarli entro limiti concordati, per capire quale danno causerebbero davvero.
Il nostro metodo è allineato alle linee guida di riferimento: OWASP Web Security Testing Guide (WSTG), PTES e NIST SP 800-115. Le categorie di rischio che controlliamo seguono l'OWASP Top 10, cioè l'elenco delle classi di vulnerabilità web più diffuse.
Un penetration test non è una certificazione di sicurezza e non garantisce l'assenza di vulnerabilità. Dimostra, per il perimetro testato e nel momento del test, quali debolezze sono sfruttabili e come correggerle.
Come si svolge un penetration test web: cinque fasi
Ogni fase ha un output concreto. Il perimetro e le regole sono scritti prima di iniziare, e restano valide per tutta la durata del lavoro.
2. Ricognizione
Mappiamo la superficie esposta: host, servizi, tecnologie, endpoint, form, flussi di login e area riservata. Output: mappa del perimetro e dei componenti.
3. Test applicativi
Verifichiamo autenticazione, gestione delle sessioni, controllo degli accessi tra utenti, validazione degli input, configurazioni e logica di business. Output: elenco di segnali confermati o da verificare.
4. Validazione manuale
Ogni segnale rilevante viene riprodotto a mano. Se una debolezza non è sfruttabile nel contesto reale, lo documentiamo come tale e non lo mettiamo in evidenza. Output: vulnerabilità confermate, con prova di riproduzione.
5. Report, debrief e retest
Consegniamo il report in 5 giorni lavorativi dalla firma, con un incontro tecnico con il team. Dopo le correzioni rieseguiamo il test sulle vulnerabilità chiuse, gratuitamente entro 30 giorni.
Cosa riceve il cliente, punto per punto
Il report è pensato per due lettori: chi sviluppa e chi decide. Le due parti non si sovrappongono.
Sintesi esecutiva
Due o tre pagine leggibili senza gergo tecnico: cosa è stato testato, il livello di rischio complessivo, le decisioni che il management deve prendere.
Dettaglio tecnico per vulnerabilità
Per ogni problema: descrizione, componente coinvolto, gravità, passi di riproduzione, prova dell'impatto e indicazioni di correzione specifiche.
Piano di remediation
Le correzioni ordinate per priorità e per sforzo stimato, con un ordine di intervento che il team può seguire senza doverlo ricostruire.
Attestazione firmata e retest
La lettera di attestazione dichiara cosa è stato verificato, quando, con quale metodo e con quale esito. Il retest documenta quali vulnerabilità risultano chiuse.
Chi ha bisogno di un penetration test web
Il test serve quando qualcuno, fuori dal team tecnico, deve potersi fidare di quello che è online.
E-commerce e checkout
Siti che raccolgono ordini e pagamenti, dove un errore di autorizzazione o di validazione espone clienti e transazioni. Spesso è il primo passo verso la conformità PCI DSS.
Software house e agenzie
Chi consegna applicazioni ai clienti e riceve richieste di sicurezza dai committenti dei propri clienti. Il report diventa parte della consegna.
PMI che rispondono a una gara
Capitolati che chiedono una verifica di sicurezza documentata come requisito. La lettera firmata è spesso la prova richiesta.
Fornitori di soggetti regolati
Aziende che devono rispondere a questionari di sicurezza su NIS2 o GDPR per conto dei propri clienti. Il penetration test è una delle evidenze tecniche richieste.
Penetration test o scanner automatico: cosa cambia nella pratica
Uno scanner automatico è utile per un controllo rapido e frequente. Il penetration test risponde a una domanda diversa: quale di quei segnali può essere usato da un attaccante, e con quale impatto.
Un esempio tipico è la mancanza di controllo di accesso tra utenti. Uno scanner può non segnalarla, perché la richiesta è formalmente corretta. Un tester che cambia un identificatore e vede i dati di un altro account la trova in pochi minuti, e può documentarla con una prova riproducibile.
Errori comuni che rendono inutile un penetration test
Sono gli stessi problemi che vediamo più spesso, e che si evitano con poca preparazione.
Testare senza scope scritto
Un test su sistemi non dichiarati può violare la legge e non produce evidenze utilizzabili. Lo scope va firmato prima.
Trattarlo come una certificazione
Il test dice cosa è sfruttabile nel momento in cui viene eseguito. Dopo modifiche importanti serve ripeterlo.
Ricevere un elenco senza prove
Un report senza passi di riproduzione obbliga il team a ricostruire tutto. Chiedi sempre evidenze riproducibili.
Correggere senza riverificare
Una correzione non testata può essere incompleta. Il retest serve a chiudere il ciclo e a dimostrarlo.
Cosa serve per iniziare
Preparazione minima, che di solito si completa in pochi giorni.
- Elenco dei domini e delle applicazioni da testare, con l'indicazione di quelli di proprietà o autorizzati.
- Un referente tecnico disponibile per domande durante il test.
- Se l'applicazione richiede login, due account di prova con ruoli diversi, oppure una modalità di accesso concordata.
- Una finestra temporale per il test, soprattutto se il sito ha picchi di traffico o processi di pagamento.
- La firma dell'autorizzazione e delle regole di ingaggio, prima dell'avvio.
Prezzo: cosa è incluso e cosa no
Il piano Perimetro singolo costa €490 una tantum, IVA esclusa. Il prezzo è chiaro, e i limiti sono scritti.
| Incluso nel piano singolo | Non incluso (su preventivo) |
|---|---|
| Un dominio principale con i suoi sottodomini | Più domini o perimetri separati |
| Validazione manuale dei risultati | Test interni e verifica di segmentazione |
| Report esecutivo e tecnico | Applicazioni mobile native |
| Lettera di attestazione firmata | Supporto alla remediation sul vostro codice |
| Retest gratuito entro 30 giorni | Verifiche periodiche (da 3 cicli) |
Il listino completo è nella home. Per le verifiche periodiche e i perimetri estesi, scrivici con il dettaglio di cosa vuoi coprire.
Domande frequenti sul penetration test web
Qual è la differenza tra penetration test e vulnerability assessment?
Il vulnerability assessment identifica e classifica le vulnerabilità con un controllo ampio. Il penetration test va oltre: prova lo sfruttamento in modo controllato per capire l'impatto reale. Nel nostro servizio combiniamo i due livelli nello stesso report.
Serve un penetration test per una gara d'appalto?
Molti capitolati e questionari di sicurezza chiedono una verifica documentata. Ti aiutiamo a capire se il tuo caso lo richiede e quale perimetro copre meglio la richiesta.
Il test può causare disservizi?
Lavoriamo con limiti di scope concordati per iscritto e con test controllati, senza attacchi distruttivi né denial of service. Prima di iniziare definiamo modalità e finestre, così da ridurre al minimo l'impatto sul servizio.
Quanto tempo serve per avere il report?
Consegniamo il report in 5 giorni lavorativi dalla firma dell'autorizzazione. Il retest gratuito è incluso entro 30 giorni dalla consegna.
Con quale frequenza va ripetuto?
Almeno una volta all'anno e dopo modifiche importanti: nuova versione dell'applicazione, cambio di infrastruttura, nuovo sistema di login o di pagamento. Per i perimetri che cambiano spesso consigliamo verifiche programmate ogni 4 o 6 mesi.
Il test richiede accesso ai nostri sistemi interni?
No. Il penetration test web del piano singolo è esterno: lavora sui domini e sulle applicazioni pubbliche. Test interni, con accesso alla rete, sono un servizio separato su preventivo.
Cosa succede se troviamo una vulnerabilità critica durante il test?
Te la segnaliamo subito, senza attendere il report finale, con le indicazioni per limitare il rischio nel frattempo. Il dettaglio completo arriva poi nel report.
Il report è accettato dai clienti e dagli auditor?
È un'evidenza tecnica documentata e firmata. Non sostituisce una certificazione, ma risponde alle informazioni che clienti, enti e auditor normalmente chiedono: cosa è stato testato, quando, con quale metodo e con quale esito.
Non sai se il tuo perimetro richiede un penetration test?
Mandaci un dominio: in 24 ore ti diciamo per iscritto se la verifica da €490 ti serve, su quale perimetro e cosa guarderemmo. Nessun accesso ai tuoi sistemi.
Leggi il perimetro gratis