Il tuo sito web è una porta aperta: clienti, fornitori, pagamenti passano tutti da lì. Un pentest simula un attacco realistico per scoprire dove le tue difese cedono — prima che lo faccia un vero attaccante.
È l'attività professionale con cui un consulente autorizzato prova a "entrare" nel tuo sito web usando le stesse tecniche di un attaccante reale. A differenza di un semplice vulnerability scan automatizzato, il pentest include analisi manuale approfondita: si indagano vulnerabilità logiche, errori di configurazione, manipolazione sessioni, escalation di privilegi. È il livello di test richiesto da assicurazioni cyber, audit di clienti enterprise, certificazioni ISO 27001.
Ogni pentest segue la metodologia OWASP Testing Guide v4, standard internazionale. In concreto, testo queste categorie:
Prima di toccare qualsiasi cosa, firmiamo un documento che autorizza esplicitamente i test: quali URL sono in scope, quali tecniche permesse, finestre temporali, contatti di emergenza. È un passaggio legale obbligatorio (art. 615 ter codice penale).
Mappo l'applicazione, scopro tutte le pagine e funzionalità, identifico i punti di input utente, analizzo il framework utilizzato e le librerie.
Esecuzione dei test OWASP. Uso strumenti professionali (Burp Suite Professional, OWASP ZAP, nuclei) combinati con test manuali. Ogni vulnerabilità trovata è verificata manualmente e documentata con screenshot.
Consegno due documenti: un report tecnico con dettagli per il team sviluppo (vulnerabilità, payload usati, raccomandazioni tecniche) e un executive summary di 2-3 pagine per il management (criticità, priorità, impatto business). Riunione di chiusura inclusa (1 ora).
Il Pentest Web Express parte da 499 € (IVA esclusa) ed è pensato per siti di piccole/medie dimensioni (fino a ~50 pagine dinamiche). Copre le categorie OWASP Top 10 principali con test manuali mirati.
Per applicazioni più complesse (SaaS, portali con logica articolata, e-commerce con integrazioni multiple) il prezzo sale indicativamente a 800-2.000 € in base alla superficie di attacco. Preparo un preventivo gratuito in 3 giorni lavorativi dopo una chiamata di scoperta.
Il pentest rallenta o blocca il sito? I test sono non-invasivi e concordo sempre fasce orarie. In casi estremi (test su produzione con traffico alto) consiglio di lavorare su ambiente di staging identico.
Cosa succede se trovi una vulnerabilità grave? Te la comunico subito via canale sicuro (non email) con raccomandazioni per il contenimento. Non pubblico mai nulla senza il tuo consenso scritto.
Offri il re-test dopo le correzioni? Sì, su richiesta. Il re-test ha costo ridotto (50% del pentest originale) e verifica che le falle trovate siano state chiuse correttamente.
Prima chiamata di scoperta gratuita (30 minuti). Ti spiego il servizio nel dettaglio, valuto la fattibilità e ti mando un preventivo personalizzato entro 3 giorni.