Sicurezza Applicazioni Web e portali
Portali clienti, dashboard, SaaS e piattaforme su misura: le vulnerabilità applicative sono la prima causa di violazioni di dati nel web.
Testiamo le applicazioni seguendo OWASP Top 10 e OWASP ASVS, con attenzione alla logica di business, che nessuno scanner automatico può comprendere fino in fondo.
Lavoriamo con i team di sviluppo per correggere le cause, non solo i sintomi, e portare la sicurezza dentro il ciclo di sviluppo.
Vulnerabilità applicative frequenti
Broken access control
Utenti che accedono a dati o funzioni di altri modificando un ID o un URL (IDOR, escalation di privilegi).
Injection
SQL, NoSQL, comandi di sistema e template injection per input non validato o non parametrizzato.
Autenticazione e sessioni
Reset password debole, token prevedibili, sessioni che non scadono, assenza di MFA.
XSS e CSRF
Esecuzione di script nel browser della vittima e azioni eseguite a suo nome senza consenso.
Upload di file insicuro
Caricamento di file eseguibili, path traversal, elaborazione di formati pericolosi.
Segreti nel codice
Chiavi API, password e token committati nel repository o esposti nel frontend.
Cosa offriamo
Web application penetration test
Test manuali black, grey o white box su frontend, backend e funzionalità critiche.
Secure code review
Analisi del codice sorgente con SAST e revisione manuale delle parti sensibili.
Threat modeling
Analisi delle minacce in fase di progettazione per evitare falle architetturali.
Pipeline DevSecOps
SAST, scansione dipendenze (SCA), secret scanning e DAST automatizzati nella CI/CD.
Formazione agli sviluppatori
Workshop pratici su vulnerabilità reali nel vostro stack tecnologico.
Checklist per sviluppatori
- Query sempre parametrizzate e output codificato in base al contesto
- Autorizzazione verificata lato server per ogni risorsa e azione
- Password con hash adeguato (argon2id o bcrypt) e supporto MFA
- Cookie di sessione Secure, HttpOnly e SameSite; token CSRF sulle azioni sensibili
- Dipendenze monitorate per vulnerabilità note e segreti fuori dal repository
- Log di sicurezza senza dati sensibili e rate limiting sugli endpoint critici
Domande frequenti
Lo scanner automatico non basta?
Trova molte vulnerabilità tecniche, ma non i difetti di logica e di autorizzazione, che richiedono test manuali.
Possiamo fare il test in staging?
Anzi, è preferibile: evitiamo impatti sulla produzione e possiamo spingere i test più a fondo.
Mettiamo in sicurezza il tuo applicazioni web
Raccontaci il tuo caso: ti rispondiamo entro un giorno lavorativo.