Pytania i odpowiedzi

Raport w HTML, który otwierasz w przeglądarce, także na telefonie: podsumowanie bez żargonu, lista znalezisk uporządkowana od najgroźniejszego, a przy każdym dowód, sposób naprawy i gotowy prompt do wklejenia w Twoje narzędzie AI. Do tego rozmowa o raporcie i jeden retest po naprawach.

Na zgłoszenie odpowiadam w ciągu 24 godzin w dni robocze — dzwonię na podany numer. Spotkanie z raportem odbywa się do 7 dni roboczych od kompletu materiałów, czyli od chwili, gdy mam materiały uzgodnione w zleceniu: zwykle dostęp do repozytorium, a przy własnym serwerze także do serwera. Termin liczę od tego momentu, nie od zgłoszenia ani przedpłaty. Przy wycenie indywidualnej termin ustalamy osobno.

Audyt kosztuje od 999 zł netto — jedna cena, bez progów. Wycenę ustalam indywidualnie, gdy projekt ma więcej niż jedną aplikację lub repozytorium, więcej niż jeden serwer albo powyżej ok. 100 endpointów API, czyli adresów, pod które aplikacja przyjmuje żądania. O wycenie indywidualnej mówię Ci na rozmowie, przed przedpłatą.

Skaner w narzędziu sprawdza ustawienia i znane wzorce, ale nie zna logiki Twojej aplikacji. Ja sprawdzam właśnie ją: czy zalogowany użytkownik nie pobierze danych innego, czy da się ominąć płatność, czy ktoś nie przepali Ci budżetu na API. Do tego patrzę na bazę, klucze, serwer i historię kodu. Skaner daje listę alertów — ode mnie dostajesz ocenę, co z tego naprawdę Cię dotyczy, i gotowy prompt do naprawy przy każdym punkcie.

Software house zwykle wycenia przepisanie albo większą przebudowę. Ja nie sprzedaję przepisania aplikacji — dostajesz listę poprawek z gotowymi promptami, większość naprawisz sam w swoim narzędziu, a retest masz w cenie. Jeśli wolisz, poprawki mogę wykonać ja, ale to osobne zlecenie i Twój wybór.

Potrzebuję kodu — to warunek konieczny. Z zewnątrz nie widać ani reguł dostępu do bazy, ani tego, co robią zadania w tle. Najlepiej zaproś mnie do repozytorium; aplikację z Lovable, Bolta czy Replita wystarczy wyeksportować do GitHuba. Możesz też przesłać kod jako plik ZIP — najlepiej razem z ukrytym folderem .git. Bez niego nie sprawdzę, czy hasła lub klucze trafiły kiedyś do historii zmian, i zaznaczę to w raporcie.

Na GitHubie: otwórz repozytorium, wejdź w Settings → Collaborators → Add people, wpisz VarrtWartnicki i wyślij zaproszenie. Jeśli repozytorium należy do organizacji, wybierz rolę Read. Na koncie prywatnym GitHub nie ma roli tylko do odczytu — niczego w nim nie zmieniam, a po audycie cofasz zaproszenie. Na GitLabie: Manage → Members, rola Reporter. Projekt z Lovable, Bolta czy Replita najpierw połącz z GitHubem — każde z tych narzędzi ma eksport. Zaproszenie wysyłasz dopiero po podpisaniu zgody na audyt i NDA.

Tylko jeśli masz własny serwer — przy Vercelu, Netlify czy Lovable nie ma czego przygotowywać. Zakładasz osobne konto SSH tylko do odczytu, bez sudo i bez dostępu do plików .env, które samo wygasa w ustalonym dniu. Z konta korzystam ja i agent AI, z którym prowadzę audyt — wyłącznie do odczytu, bez dostępu do plików .env. Założenie konta zajmuje około 15 minut. Instrukcja krok po kroku

Przed jakimkolwiek dostępem podpisujemy NDA i zgodę na audyt; jeśli dajesz mi dostęp do serwera, bazy lub panelu z danymi osobowymi — także umowę powierzenia. Dostępy są usuwane po przekazaniu raportu, a kopie kodu kasowane. Raportu ani nazwy Twojej firmy nigdzie nie publikuję bez Twojej pisemnej zgody.

Nie. Sprawdzam kod oraz konfigurację serwera i bazy. Repozytorium czytam bez wprowadzania zmian. Do serwera dostaję konto tylko do odczytu, z którego niczego nie mogę zmienić. Nie loguję się do aplikacji i nie zakładam w niej kont. Z zewnątrz sprawdzam tylko to, co widać bez logowania: nagłówki i typowe ścieżki. Żadnego DoS-u, fuzzingu ani zmieniania danych.

Mogę. Naprawa to osobne zlecenie, wyceniane indywidualnie po audycie — dopiero wtedy wiadomo, ile pracy jest w środku. Możesz też naprawić wszystko sam albo swoim narzędziem AI: przy każdym znalezisku jest gotowy prompt, a retest masz w cenie audytu.

Tak — do skanów, przeszukiwania kodu i przygotowania materiału. Zapisujemy to w zgodzie na audyt, bo oznacza przetwarzanie Twojego kodu przez zewnętrznego dostawcę modelu. Każde znalezisko, które trafia do raportu, sprawdzam ręcznie.

Nie audytuję zewnętrznych usług — sprawdzam Twój kod i Twoją konfigurację, które z nich korzystają. Czyli nie to, czy Stripe jest bezpieczny, tylko czy Twoja aplikacja nie przyjmuje kwoty przesłanej z przeglądarki i czy weryfikuje webhooki.

Nie. Pentest to symulowany atak na działającą aplikację, prowadzony przez zespół, zwykle za kilkadziesiąt tysięcy złotych. Ja robię przegląd: czytam kod i konfigurację serwera oraz bazy, a z zewnątrz sprawdzam tylko to, co widać bez logowania. Efekt to lista znalezisk według stanu na dany dzień i commit.

Nie — i nikt uczciwy nie wystawi go po jednym przeglądzie. Nie napiszę też w raporcie, że aplikacja jest bezpieczna. Napiszę, co znalazłem, jak poważne to jest i co z tym zrobić.

Dla małych firm i founderów, którzy zbudowali aplikację metodą vibe coding (Lovable, Bolt, Replit, Cursor, Claude Code) i zaczynają jej powierzać prawdziwych użytkowników, płatności albo dane — zarówno gdy to produkt dla klientów, jak i narzędzie wewnętrzne w firmie: panel, CRM, automatyzacja.

Dla natywnych aplikacji mobilnych (backend sprawdzę, jeśli ma API po HTTP albo korzysta z Supabase lub Firebase). Dla kogoś, kto chce audytu cudzej aplikacji — bez pisemnej zgody właściciela nie dotykam niczego. I dla kogoś, kto potrzebuje papierka do przetargu.