Trovatelo prima che lo trovi qualcun altro.
Un test che produce il report di uno scanner non è un test. Tentiamo attacchi veri contro la vostra applicazione e vi mostriamo che cosa ha funzionato davvero.
Proviamo a entrare nella vostra applicazione web o nelle vostre API come farebbe un attaccante, poi vi diciamo che cosa ha funzionato, quanto è grave e come correggerlo. Il lavoro è soprattutto manuale e sempre autorizzato per iscritto. Dopo le vostre correzioni ripetiamo il test. Non abbiamo accreditamenti come CREST, e lo diciamo prima.
Aggiornato novembre 2026
Una scansione automatica non è un penetration test, anche se molte vengono vendute come tali.
Gli scanner trovano schemi noti. Non si accorgono che cambiando un numero in un indirizzo si vede la fattura di un altro cliente, o che il recupero della password si può dirigere sull’account di qualcun altro. Sono quelli i risultati che contano, e serve una persona per trovarli.
Quindi un test vero è soprattutto manuale, rivolto alla logica del vostro business tanto quanto alle librerie. I risultati di valore sono di solito specifici di come funziona la vostra applicazione, più che degli strumenti con cui è costruita.
E il report deve essere utilizzabile. Cinquanta risultati ordinati per un punteggio generico non sono un piano. Vi serve: sistemate queste tre questa settimana, queste cinque in questo trimestre, ed ecco perché il resto può aspettare.
Che cosa testiamo.
Autenticazione e sessioni
Accesso, recupero password, token, scadenze. È lì che di solito stanno i risultati più dannosi.
Controllo degli accessi
Un utente può raggiungere i dati di un altro cambiando un valore? È l’errore grave più comune, sempre.
Logica di business
Sconti applicati due volte, quantità negative, un passaggio saltato. Gli scanner non li trovano mai.
Iniezioni e gestione degli input
SQL, comandi, template. Meglio di un tempo, ma vale ancora la pena verificare.
Le API in particolare
Spesso meno protette dell’interfaccia web, e sempre più spesso la via d’ingresso.
Caricamento e archiviazione di file
Che cosa si può caricare, dove finisce e chi può leggerlo dopo.
Configurazione
Pannelli di amministrazione esposti, credenziali predefinite, errori troppo dettagliati, archivi lasciati pubblici.
Un nuovo test dopo le correzioni
Fa parte del lavoro. Un report su cui non potete verificare le correzioni è solo metà del lavoro.
Scansione, test o audit.
Si chiamano tutti e tre penetration test. Costano e consegnano cose molto diverse.
| Scansione automatica | Penetration test | Audit completo | |
|---|---|---|---|
| Trova vulnerabilità note | Sì | Sì | Sì |
| Trova errori nella logica di business | No | Sì: è la parte di valore | Sì |
| Concatena piccoli problemi | No | Sì | Sì |
| Legge il codice sorgente | No | A volte | Sì |
| Falsi positivi | Molti | Pochi: verificati a mano | Pochi |
| Adatto per | Controlli continui | Prima di un lancio, o una volta l’anno | Settori regolamentati, o prima di un’acquisizione |
Come lavoriamo.
Perimetro e permesso scritti prima di iniziare. Nessuna eccezione.
Gli errori di logica di business sono dove sta il danno, e nessuno scanner li trova.
Verificare che le correzioni abbiano funzionato fa parte del lavoro, non è un extra.
Quando fare un test.
Prima di un lancio
Soprattutto per qualsiasi cosa gestisca pagamenti o dati personali.
Dopo un cambiamento importante
Un nuovo flusso di pagamento, una nuova autenticazione, una riscrittura importante.
Un cliente vi chiede prove di sicurezza
Succede sempre più spesso nelle vendite alle grandi aziende. Se però vi serve un fornitore accreditato o certificato, non siamo noi: ditecelo subito.
Non fa per voi se sapete già che cosa va sistemato
Se avete già un elenco di problemi non corretti, sistemate prima quelli. Un test li troverebbe di nuovo.
Come lavoriamo.
Concordiamo il perimetro per iscritto
Che cosa è incluso, che cosa no, e quando. Non testiamo senza un’autorizzazione scritta.
Mappiamo l’applicazione
Ogni punto d’ingresso, ogni ruolo, ogni posto in cui si muovono i dati.
Testiamo a mano
Gli scanner girano in sottofondo. I risultati che contano arrivano da una persona che prova.
Verifichiamo tutto
Ogni risultato riprodotto e confermato. Nessuno deve perdere una settimana su un falso positivo.
Ordiniamo per rischio reale
Che cosa potrebbe fare davvero un attaccante, non un punteggio generico. Tre urgenti battono cinquanta elencati.
Ripetiamo il test dopo le correzioni
Confermare la correzione fa parte del lavoro.
Penetration test
6 domande con risposta. Ne avete un’altra? Scriveteci.
Uno scanner cerca schemi noti e produce un lungo elenco con molti falsi positivi. Un penetration test è soprattutto una persona che prova a violare la vostra applicazione specifica: è così che si trovano gli errori di logica di business, che di solito sono quelli gravi. Se un preventivo sembra economico e rapido, probabilmente state comprando una scansione con una copertina.
Sette categorie. Quarantacinque servizi.
Raccontateci il progetto, com’è davvero.
Scriveteci cosa vi serve e dove siete bloccati. Vi rispondiamo entro un giorno lavorativo con domande vere, e se il progetto dovrebbe essere più piccolo di come lo immaginate ve lo diremo.