По существу
Что входит и как проходит работа
Сначала закрываем реальные риски
Проверяем проект и окружение, затем разделяем находки по важности. Не предлагаем большой пакет работ, если достаточно нескольких конкретных исправлений.
Что обычно проверяем
- актуальность фреймворка, CMS и зависимостей;
- HTTPS и основные security headers;
- доступ к административной части и защиту форм;
- права на файлы и публичность загрузок;
- типовые XSS, CSRF, SQL-инъекции и опасные точки ввода;
- хранение секретов и production-настройки;
- резервное копирование и возможность восстановления.
До платных работ согласовываем, что именно будем исправлять и сколько стоит этот этап.