Podsumowanie dla właściciela
Trzy do pięciu zdań bez żargonu i liczniki znalezisk według ważności. To czytasz najpierw.
Od zgłoszenia do retestu
Nic nie dzieje się automatycznie. Żaden skan nie rusza, zanim nie mamy podpisanej zgody i ustalonej ceny.
- 1Ty
Zgłoszenie
Wypełniasz krótki formularz albo wklejasz odpowiedź swojego agenta AI. Pytam tylko o to, co na pewno wiesz. Nic nie uruchamia się automatycznie — zgłoszenie czeka na mnie.
- 2Razem
Telefon i rozmowa
Oddzwaniam i umawiamy spotkanie na Meet. Opowiadasz, co to za aplikacja i czego się obawiasz; ja mówię, co mi będzie potrzebne i ile to kosztuje. Cena jest stała i znasz ją przed startem.
- 3Razem
Zgoda, NDA, dostępy
Podpisujemy zgodę na audyt i NDA, akceptujesz zlecenie mailem i płacisz z góry przelewem. Dopiero potem zapraszasz mnie do repozytorium albo przesyłasz kod w pliku ZIP, a jeśli masz własny serwer — zakładasz mi konto tylko do odczytu.
- 4Ja
Audyt
Skany automatyczne i przegląd ręczny punkt po punkcie: kod, konfiguracja serwera i bazy. Do aplikacji się nie loguję, a w repozytorium i na serwerze niczego nie zmieniam.
- 5Razem
Raport i rozmowa
Na 30-minutowym spotkaniu, do 7 dni roboczych od kompletu materiałów (przy wycenie indywidualnej termin ustalamy osobno), pokazuję i omawiam raport — od najgroźniejszego znaleziska do porządków. Zaraz po nim dostajesz go w HTML. Każde znalezisko ma gotowy prompt do wklejenia w Lovable, Cursor albo Claude Code.
- 6Razem
Retest
Naprawiasz sam albo zlecasz naprawę mnie. W ciągu 30 dni od raportu sprawdzam zgłoszone poprawki jeszcze raz — w cenie audytu.
Co jest w raporcie
Profil ryzyka
Kto korzysta z aplikacji, jakie dane w niej są, co zyskuje ktoś, kto się włamie, i jaki jest najgorszy scenariusz.
Tabela znalezisk
Numer, tytuł, ważność, obszar, status — jedna kartka, na której widać skalę.
Karta każdego znaleziska
Co, gdzie (plik i linia albo adres), dowód z zamaskowanymi sekretami, ryzyko po ludzku, jak naprawić, gotowy prompt dla Twojego narzędzia AI i mapowanie na OWASP.
Co jest zrobione dobrze
Osobna sekcja — żeby nie zepsuć tego przy naprawach.
Czego nie sprawdzałem
Konkretnie i z powodem: brak dostępu, brak narzędzia, rzecz poza zakresem. Bez udawania, że sprawdziłem wszystko.
Przykładowy pipeline CI/CD
Załącznik dopasowany do Twojego stacku: lint, typy, testy, build, migracje i wdrożenie z kontrolą działania. Do wdrożenia własnymi siłami.
Metodologia i zastrzeżenie
Użyte narzędzia, sposób dostępu, standardy (OWASP Top 10:2025, ASVS 5.0), stan na dzień i commit.
Jak oceniam wagę znaleziska
Skutek biznesowy razy łatwość wykorzystania — w świetle tego, kto korzysta z aplikacji i jakie dane w niej są.
| Skutek | Trudno wykorzystać | Łatwo wykorzystać |
|---|---|---|
| Duży — dane osobowe, płatności, przejęcie konta | Wysokie | Krytyczne |
| Średni — część danych, przestój, zależność od jednej osoby | Średnie | Wysokie |
| Mały — ujawnienie informacji bez dalszych skutków | Niskie | Średnie |
Czego potrzebuję od Ciebie
- Zaproszenie do repozytorium albo kod w pliku ZIP — warunek konieczny. ZIP bez folderu .git: nie sprawdzam historii zmian.
- Wskazanie, co stoi na produkcji — gałąź i commit albo miejsce na serwerze, z którego to widać.
- Własny serwer: konto SSH tylko do odczytu, bez sudo i bez dostępu do plików .env.
- Opcjonalnie zrzuty z paneli: GitHub, hosting, DNS, limity u dostawców AI. Kont nie przejmuję, a brak zrzutów nie blokuje audytu.
- Kont testowych nie potrzebuję — nie loguję się do Twojej aplikacji.