Найдите уязвимости
раньше злоумышленников
Бесплатный сканер безопасности от Совкомбанк Технологии
Перед сканированием подтвердите владение доменом. Добавьте домен в разделе «Мои домены» и разместите предложенную TXT-запись в DNS.
Для запуска сканирования необходимо войти в аккаунт
Что проверяет сканер
Проверяем ваши веб-приложения на уязвимости и ошибки конфигурации.
Более 150 проверок
Смотрим туда, откуда чаще всего утекают данные: открытые .git и .env, забытые бэкапы и дампы БД, ключи от облаков (AWS, Google, GitHub). Плюс типовые веб-уязвимости: XSS, SQL-инъекции, LFI, открытые редиректы, ошибки CORS.
Проверки под ваш стек
Сначала определяем технологии и WAF, а дальше сканер сам подбирает проверки под найденное: WordPress, Spring Boot, Tomcat, GitLab и десятки других. Профиль вручную выбирать не нужно.
Открытые панели и API
Ищем открытые админки и логин-панели более чем 40 сервисов: от Jenkins, Grafana и phpMyAdmin до Exchange, Citrix и VPN-шлюзов. А заодно Swagger, OpenAPI и GraphQL, robots.txt и sitemap.
AI-анализ результатов
Когда проверки завершены, находки разбирает AI: объясняет, что чинить в первую очередь и как.
Как это работает
Запустить сканирование
Введите адрес вашего приложения и нажмите «Сканировать»
Дождаться результатов
Находки появляются по мере проверки, за ходом можно следить в реальном времени
Изучить отчет
Оценка от 0 до 10, находки с доказательствами и AI-анализ с рекомендациями; отчет выгружается в DOCX
Исправить проблемы
Обновите конфигурацию сервера и исправьте найденные уязвимости
Часто задаваемые вопросы
В личном кабинете откройте «Мои домены» и нажмите «Добавить домен». Мы сгенерируем TXT-запись, добавьте ее в панели DNS у компании, где куплен домен (reg.ru, nic.ru, Cloudflare, Яндекс 360 и другие). Обычно запись появляется в течение 5-30 минут, дальше мы проверим владение автоматически. Пошаговая инструкция есть прямо в окне добавления домена.
Поддомены входят: подтверждаете владение доменом на 180 дней, дальше сканируете и сам домен, и все его поддомены. А вот IP-адреса не поддерживаются, только доменные имена.
Риск небольшой, но не нулевой. Фаззинг, DoS и другие агрессивные проверки отключены, частота запросов ограничена. Запросы при этом настоящие: слабый сервер может заметить нагрузку, а приложение, которое нестандартно обрабатывает запросы, может ответить ошибкой. Перед первой проверкой рабочей системы предупредите ее администраторов, все риски перечислены в пользовательском соглашении.
Обычно от пары минут до получаса; точное время зависит от размера сайта и набора проверок под его стек.
Это ориентировочная оценка безопасности по итогам проверок. 10 означает, что находок нет. Чем больше и серьезнее находки, тем ниже оценка: критичные снижают сильно, мелкие слабо. Оценка помогает быстро прикинуть картину, но не заменяет разбор отчета.
После каждого релиза, а между ними хотя бы раз в две недели. Даже если приложение не менялось, мог измениться его окружение: сервер, настройки, соседние сервисы.
Чините сверху вниз: список отсортирован по критичности, самое важное в начале. Критичные проблемы закрывайте сразу, остальные по плану. Не откладывайте и низкие: несколько мелких проблем вместе могут обернуться серьезной дырой.
Вы и администраторы сервиса, другим пользователям результаты не показываются. Храним их 60 дней, потом удаляем автоматически, а раньше отчет можно удалить в личном кабинете. В AI-анализ уходят только тип находки, домен и путь, без ответов вашего сервера.
Нет. Сканировать можно только свои домены: перед запуском вы подтверждаете владение доменом через TXT-запись в DNS. Сканирование чужого ресурса без разрешения владельца может нарушать закон.
Бесплатно. Для одного аккаунта действуют лимиты: одновременных сканирований не больше 3, запусков в сутки не больше 10.