Web Uygulama Testi
Giriş, oturum, yetki ve veri katmanı. OWASP WSTG ile elle test.
Yeni proje alıyoruz
Açığı saldırgan bulmadan siz bulun.
Sisteminizi gerçek saldırgan teknikleriyle test ediyoruz. Bulduğumuz her açığı kanıtıyla, etkisiyle ve çözümüyle raporluyoruz.
27+Saldırı kategorisi
OWASPWSTG metodolojisi
72 saKritik bulgu bildirimi
İki katmanlı raporYönetici özeti + teknik detay
Kanıtlı bulgu"Olabilir" değil, "şu adımla erişildi"
Ücretsiz doğrulamaDüzeltme sonrası kontrol
Hizmetler
Neyi test ediyoruz?
Sekiz alan, tek çıktı: neyin kırılabileceğini ve nasıl kapatılacağını gösteren rapor.
API & Mobil
REST, GraphQL, gRPC uç noktaları ve Android/iOS istemci analizi.
Bulut & Altyapı
Bulut hesabınızın yanlış yapılandırmaları ve açık kalan servisler.
Oltalama Simülasyonu
Çalışanlarınız gerçek bir saldırıda ne yapar? Ölçüyoruz.
Active Directory
Şirket içi ağda saldırganın izleyeceği yolu baştan sona haritalıyoruz.
Sürekli İzleme
Aylık tarama ve yeni açıklanan açıklar için hızlı kontrol.
KVKK Teknik Uyum
Denetimde istenen teknik tedbirlerin kanıtını hazırlıyoruz.
Olay Müdahale
Şüpheli durumda hızlı teknik bakış. Kanıtı bozmadan ne olduğunu anlamak.
Her hizmette aynı teslim: yönetici özeti, teknik rapor (kanıt + tekrar üretme adımı), düzeltme planı ve ücretsiz doğrulama turu. Tam kapsam dokümanını indir →
Nasıl Çalışır
Dört adım
Her proje yazılı kapsam sözleşmesiyle başlar, düzeltme planıyla biter.
01
Kapsam Görüşmesi
Hangi sistem, hangi saat, hangi teknikler — yazılı belirlenir. Gizlilik sözleşmesi imzalanır.
02
Yüzey Haritası
Dışarıdan görünen tüm yüzey çıkarılır. Hiçbir uç nokta sonradan ortaya çıkmaz.
03
Test & Doğrulama
Bulgular tespitle kalmaz; güvenli sınırlar içinde istismar edilebilirliği kanıtlanır.
04
Rapor & Destek
İki katmanlı rapor teslim edilir. Düzeltme sonrası ücretsiz doğrulama turu dahildir.
Paketler
Şeffaf fiyatlar
Başlangıç fiyatları. Kesin teklif ücretsiz ön değerlendirmeden sonra yazılı verilir.
Başlangıç
Tek uygulama
19.900 ₺ + KDV
- Web uygulaması testi
- Otomatik + elle doğrulama
- Bulgular ve düzeltme önerileri
- 1 doğrulama turu
- Teslim: 5 iş günü
En çok tercih edilen
Profesyonel
Web + API
44.900 ₺ + KDV
- Web ve API birlikte
- Derin yetki testleri
- İş mantığı ve zincirleme senaryolar
- Bulut yapılandırma kontrolü
- Yönetici sunumu
- 2 doğrulama turu + 30 gün destek
Kurumsal
Çoklu sistem
Teklife göre
- Çoklu uygulama ve iç ağ
- Active Directory senaryoları
- Oltalama simülasyonu dahil
- Konteyner & CI/CD güvenliği
- Öncelikli iletişim kanalı
Aylık İzleme
Abonelik
7.900 ₺ / ay + KDV
- Aylık yüzey taraması
- Yeni CVE hızlı kontrolü
- Düzeltme takip raporu
- Kritik bulguda anında bildirim
- 3 ay taahhüt, sonra iptal serbest
Fark
Otomatik tarama satanlardan farkımız
Elle test, araç desteğiyle
Tarayıcılar bilinen kalıpları bulur. Zincirleme senaryoyu insan kurar. İkisini birlikte kullanıyoruz.
Yanlış alarm yok
Her bulgu istismar edilebilirliği doğrulandıktan sonra raporlanır. Sürüm listesi değil, gerçek senaryo.
Okunabilir rapor
Yönetici özeti sade, teknik bölüm kopyalanabilir komutlarla dolu. Geliştiriciye verebilirsiniz.
Düzeltmeye kadar yanınızda
Raporu bırakıp gitmiyoruz. Doğrulama turuyla kapanıp kapanmadığını kanıtlıyoruz.
Sektörler
Sektörünüzü biliyoruz
Her sektörün kendi risk profili ve mevzuat yükümlülüğü var. Test senaryolarını ona göre kuruyoruz.
Finans & Fintek
Ödeme akışı, kart verisi, açık bankacılık API'leri. BDDK/PCI-DSS bakışıyla yetki ve işlem bütünlüğü testleri.
Sağlık
Hasta verisi gizliliği, HBYS/randevu sistemleri, tıbbi cihaz ağları. KVKK özel nitelikli veri gereklilikleri.
E-ticaret & Perakende
Sepet ve ödeme mantığı, kupon/indirim suiistimali, stok manipülasyonu, müşteri hesabı devralma senaryoları.
Otel & Turizm
Rezervasyon sistemleri, misafir ağı segmentasyonu (WiFi izolasyonu), PMS entegrasyonları, kiosk güvenliği.
Kamu & Belediye
e-Devlet entegrasyonları, iç ağ segmentasyonu, yetkili hesap yönetimi, ihale ve doküman paylaşım sistemleri.
Teknoloji & SaaS
Çok kiracılı (multi-tenant) mimari, kiracı izolasyonu, CI/CD boru hattı, gömülü API anahtarı sızıntıları.
Vaka Analizleri
Neler bulduk, nasıl kapandı
Aşağıdaki senaryolar sektörde sık karşılaşılan bulgu tiplerini anlatır. Müşteri adı ve sistem bilgisi gizlilik gereği paylaşılmaz.
E-ticaret
Kritik
Yetkisiz sipariş görüntüleme
Sorun
Sipariş detay sayfası sipariş numarasıyla açılıyordu; numara değiştirildiğinde başka müşterinin siparişi, adresi ve fatura bilgisi görüntülenebiliyordu.
Etki
Müşteri verisi sızıntısı ve KVKK ihlal riski. Otomatik numara denemesiyle tüm sipariş geçmişi çekilebilirdi.
Çözüm
Sunucu tarafında sahiplik kontrolü eklendi; sipariş numarası yerine oturuma bağlı anahtar kullanıldı. Doğrulama turunda kapandığı kanıtlandı.
Fintek
Kritik
API'de yetki yükseltme zinciri
Sorun
Kullanıcı rolü istemcilde tutuluyordu. İstek gövdesindeki rol alanı değiştirilerek normal hesaptan yönetici uç noktalarına erişildi.
Etki
Hesap devralma ve toplu veri erişimi mümkündü. Para hareketi yapan uç noktalar da bu yolla erişilebilir durumdaydı.
Çözüm
Rol sunucu tarafına taşındı; her istekte yetki sunucuda doğrulanır hale getirildi. Hassas işlemler için ikinci doğrulama eklendi.
Otel
Yüksek
Misafir ağında izolasyon kopukluğu
Sorun
Misafir WiFi ağı, resepsiyon ve muhasebe makinelerinin bulunduğu ağla aynı segmentteydi. Ağdaki bir kullanıcı iç sistemleri görebiliyordu.
Etki
Bir misafir kaldığı sürede iç ağdaki cihazlara erişim denemesi yapabilir, oda kartı ve rezervasyon sistemini hedefleyebilirdi.
Çözüm
Misafir ağı ayrı VLAN'a alındı, cihazlar arası trafik kapatıldı. Yönetim arayüzleri yalnızca yetkili segmentten erişilebilir yapıldı.
Uzmanlık
Nasıl çalışıyoruz
Ekibimiz yalnızca sızma testi yapan uzmanlardan oluşur. Her test, kanıt üretme ve raporlama disipliniyle yürütülür.
Kanıtsız bulgu raporlanmaz
Her bulgu güvenli sınırlar içinde istismar edilerek doğrulanır. Teorik liste değil, gerçek senaryo raporlanır.
Standart metodoloji
Testler OWASP WSTG, OWASP API Top 10, PTES ve MITRE ATT&CK çerçevesinde yürütülür. Rapor bu referansları içerir.
Gizlilik esaslı
NDA ve yazılı kapsam sözleşmesi standarttır. Erişilen veri rapora girmez, proje sonunda imha edilir.
Kritik bulguda hızlı haber
Kritik seviye bir açık bulunduğunda rapor beklenmez; 72 saat içinde ön bildirim yapılır.
Ekibimize katılmak ister misiniz? Sızma testi, olay müdahale veya uygulama güvenliği alanında deneyimliyseniz
bize yazın. Başvurular iletişim formuyla alınır.
Referanslar
Müşteri görüşleri
Gizlilik nedeniyle firma adı verilmeden yayınlanmaktadır. Talep halinde referans görüşmesi ayarlanır.
Raporu okuyunca ilk kez ne yapacağımızı bildik. Bulgular öncelik sırasına dizilmişti, kritiklerin tamamı iki haftada kapandı.
Oltalama simülasyonu beklediğimizden çok öğreticiydi. Hangi departmanın riskli olduğunu rakamla gördük.
API tarafında bizim görmediğimiz bir yetki açığı bulundu. Doğrulama turunda kapandığını kanıtladılar.
Sık Sorulanlar
Merak edilenler
Test sırasında sistemimiz çöker mi?
Hayır. Testler bakım penceresinde, önceden belirlenen sınırlarla yapılır. Üretimi etkileyebilecek testler onayınız olmadan çalıştırılmaz.
Verilerimiz güvende mi?
Test öncesi gizlilik sözleşmesi imzalanır. Erişilen kişisel veriler rapora girmez, maskelenir. Proje sonunda tüm erişimler kaldırılır.
Ne kadar sürer?
Tek uygulama 5 iş günü, web + API 10 iş günü, kurumsal kapsam 3-4 hafta. Takvim ön değerlendirmede netleşir.
Düzeltmeleri kontrol ediyor musunuz?
Evet. Pakete göre 1-2 ücretsiz doğrulama turu dahildir. Bulgular tekrar test edilir, sonuç yazılı bildirilir.
Hangi sistemlere test yapmıyorsunuz?
Yalnızca yazılı yetkinizin olduğu sistemlere. Kapsam sözleşmesinde belirtilmeyen hedefler ve sahipliği kanıtlanamayan varlıklar kapsam dışıdır.
Bulunan açık yasal risk yaratır mı?
Test sözleşme kapsamında yapıldığı için korunursunuz. Bulgular yalnızca size raporlanır, üçüncü tarafla paylaşılmaz.
İletişim
Ücretsiz ön değerlendirme
Sisteminizin adresini yazın; 24 saat içinde hangi testlerin gerektiğini, süreyi ve fiyat aralığını içeren dönüş yapılır. Yükümlülük doğurmaz.
TalepAşağıdaki formu doldurun
Yanıt süresi24 saat içinde
SözleşmeKapsam (RoE) + gizlilik (NDA)
Kapsam uyarısı
Yalnızca sahibi olduğunuz veya yazılı test yetkiniz bulunan sistemler için talep gönderin. Üçüncü taraf sistemlerde yetki belgesi zorunludur.