Kiedy śpisz, chronimy Twoje API, aplikację lub SaaS.
LiveAPISec prowadzi automatyczne testy penetracyjne API obejmujące OWASP API Top 10 oraz ataki deep scan — 430+ sprawdzeń, stale lub na żądanie — i wystawia żywy certyfikat, który kupujący akceptują.
430+ sprawdzeń · pierwszy raport w ~2 minuty · bez karty kredytowej
- Ostatni skan
- Jul 7
- Uruchomione testy
- 430+
- Otwarte
- 0
Kim jesteś? Wybierz opis dopasowany do siebie:
Zaufali nam zespoły, które dbają o bezpieczeństwo
ridolangmasdrivKontaktAppapudqi
'/%3e%3crect%20width='128'%20height='128'%20rx='30'%20fill='url(%23mdIcong)'/%3e%3c!--%20speed%20streaks%20--%3e%3cg%20fill='%23ffffff'%3e%3crect%20x='9'%20y='46'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3crect%20x='4'%20y='60'%20width='20'%20height='9'%20rx='4.5'%20opacity='0.6'/%3e%3crect%20x='9'%20y='75'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3c/g%3e%3c!--%20M%20monogram%20(optically%20centred:%20bounds%2032.5%20..%2095.5)%20--%3e%3cpath%20d='M40%2091%20V37%20L64%2064%20L88%2037%20V91'%20fill='none'%20stroke='%23ffffff'%20stroke-width='15'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3c/svg%3e)
Mówi językiem Twojego API
Liczby zbiorcze ze wszystkich skanów LiveAPISec do dziś.
Wdrażaj szybko i zachowaj bezpieczeństwo
Wszyscy oczekują szybkiego dostarczania oprogramowania. Nikt nie wybacza wycieku. To napięcie, w którym żyje każdy zespół API — i dokładnie to rozwiązuje automatyzacja.
Rynek wymaga szybkości
Funkcje co tydzień, wdrożenia codziennie. Zwalnianie na manualny przegląd bezpieczeństwa przed każdym wydaniem nie wchodzi w grę — konkurencja nie będzie czekać.
…ale klienci wymagają bezpieczeństwa
Klienci powierzają Ci swoje dane — płatności, dane osobowe, sekrety biznesowe. Każdy BOLA czy IDOR to ich dane w cudzych rękach. Jeden wyciek i zaufanie (oraz umowa) znika.
Manualne testy zmuszają do wyboru: szybko albo bezpiecznie. Automatyczne pentesty przy każdym wdrożeniu usuwają ten wybór — bezpieczeństwo jedzie z prędkością wydania, a certyfikat pokazuje to każdemu klientowi.
Wszystko, czego potrzebuje bezpieczeństwo Twojego API
Deterministyczny silnik, któremu zespół może zaufać, plus AI, które ucina szum.
Ciągłe testy penetracyjne API
Twoje API jest testowane 24/7 pod kątem OWASP API Security Top 10 — BOLA/IDOR, złamana autoryzacja, mass assignment, injection, limity zapytań i więcej.
Żywy certyfikat zaufania
Przejrzysty, zawsze aktualny certyfikat, który klient może otworzyć. Widać dokładnie, co i kiedy przetestowano oraz co naprawiono.
Wykrywa drift między wdrożeniami
Większość problemów pojawia się po wdrożeniu: zmiany konfiguracji, ukryte endpointy, wyłączone limity. Obserwujemy API stale.
Webhooki CI/CD
Uruchamiaj prywatny test przy każdym wdrożeniu. Developerzy dostają wyniki bez wpływu na publiczny status certyfikatu.
Werdykt CI względem baseline
Blokuj wdrożenia tylko przy NOWYCH znaleziskach — endpoint werdyktu porównuje każdy skan z baseline, więc znane i zaakceptowane problemy nie blokują wdrożeń.
Triage wspierany przez AI
Mniej false positives. AI klasyfikuje i priorytetyzuje znaleziska, opierając się na w pełni deterministycznym jądrze, które możesz odtworzyć.
Zero przechowywania sekretów
Dane dostępowe są szyfrowane (AES-256) i nigdy nie trafiają do logów. Widzisz je tylko Ty i skaner.
Matematyka, którą pokocha Twój CFO
Manualny pentest API kosztuje 15–50 tys. USD i trwa tygodnie — za jeden test. Oto alternatywa.
taniej niż manualny pentest
Plan SaaS 1548 USD/rok wobec 15 tys. USD+ za jednorazowe zlecenie, które traci aktualność przy następnym wdrożeniu.
od rejestracji do pierwszego raportu
Bez rozmów sprzedażowych, spotkań o zakresie i czekania 3 tygodni na PDF. Wskaż, kliknij, dowód.
monitoring, nie zdjęcie w czasie
Raport z pentestu traci ważność przy następnym wdrożeniu. Ciągłe skany łapią regresję, której roczny audyt nigdy nie widzi.
Uruchom w mniej niż 10 minut
Podłącz API
Wgraj specyfikację OpenAPI, RAML, GraphQL lub SOAP/WSDL — albo podaj URL. Dodaj dane dostępowe: klucz API, Bearer, Basic lub OAuth2.
Testujemy je stale
Deterministyczny silnik uruchamia testy penetracyjne OWASP API Top 10 według harmonogramu, który kontrolujesz — lub na żądanie — z wyważonym tempem, żeby nigdy nie przeciążyć API.
Pokaż certyfikat
Osadź żywą Trust Page na swojej stronie. Klienci widzą prawdziwe, aktualne dowody — nie pusty badge.
Zobacz dokładnie, jak to działa
Dodaj projekt w mniej niż minutę, a potem patrz, jak skan działa i pojawia się certyfikat.
1 · Dodaj projekt
Nadaj nazwę, wskaż specyfikację OpenAPI i bazowy URL, wybierz harmonogram. Weryfikujemy własność i łączymy od razu.
- ✓ Wgraj YAML/JSON lub pobierz z URL
- ✓ Dodaj dane dostępowe (klucz API, Bearer, Basic, OAuth2)
- ✓ Potwierdź własność rekordem DNS TXT
2 · Testujemy stale
Twoja specyfikacja jest zamieniana na setki celowanych testów z OWASP API Top 10. Wyniki trafiają do panelu w kilka minut.
- ✓ 8 kategorii testów OWASP
- ✓ Wyważone tempo — nigdy nie przeciąża API
- ✓ Wykrywanie driftu między wdrożeniami
3 · Dostajesz powiadomienie od razu
Jeśli w API znajdziemy coś ważnego, dowiesz się natychmiast. Wybierz e-mail, Slack, webhook lub inny kanał — zawsze wiesz, gdy wykryjemy problem.
- ✓ E-mail, Slack lub webhook — Twój wybór
- ✓ Alerty tylko przy ważnych znaleziskach (krytyczne / wysokie)
- ✓ Nigdy nie przegap regresji na ścieżce wydania
Choose how you want to be informed — always.
OWASP API Top 10, automatycznie
Żywy raport dokładnych testów, które uruchamiamy na Twoim API.
Uruchom żywy test penetracyjny — teraz
Wskaż API — bazowy URL lub specyfikację OpenAPI — a my uruchomimy prawdziwy test penetracyjny na żądanie, w bezpiecznym sandboxie: setki symulacji ataków OWASP API Top 10 z wyważonym tempem. Bez angażowania dostawcy, bez czekania, bez ryzyka dla ruchu produkcyjnego.
- BOLA / IDOR — Próbuje dostać się do zasobów innych użytkowników, podmieniając identyfikatory w ścieżkach i parametrach.
- Złamana autoryzacja — Wysyła żądania bez tokenu lub z błędnym tokenem, żeby znaleźć niechronione endpointy.
- Mass assignment — Dodaje nadmiarowe pola do payloadu, żeby sprawdzić, czy serwer przyjmuje więcej, niż powinien.
- Injection (SQL / NoSQL) — Sonduje injection SQL, NoSQL i JSON, wykrywając sygnatury błędów.
- Rate limiting — Wysyła serię żądań, żeby sprawdzić brak ograniczania 429.
- Błędna konfiguracja CORS — Podstawia wrogi Origin i sprawdza, czy poświadczenia są dozwolone.
- Nagłówki bezpieczeństwa — Sprawdza HSTS, X-Content-Type-Options i pozostałe nagłówki utwardzające.
- Wrażliwe parametry — Szuka sekretów przekazywanych w query stringu zamiast w nagłówkach lub body.
- Słabości JWT — alg=none, sfałszowane payloady, słabe sekrety HMAC, brak exp, injection kid.
- Podmiana metod HTTP — Niezadeklarowane metody (DELETE, PATCH…), które omijają kontrolę dostępu per metoda.
- Eskalacja uprawnień przez mass assignment — Niezadeklarowane pola ról, które serwer zwraca bez zmian.
- Fingerprint technologii + EOL — Wykrywanie stacku z oznaczaniem wersji po końcu wsparcia.
- Ujawnianie informacji — .git, .env, endpointy debug, actuator, metryki, publiczne specyfikacje, stack trace.
- Różnicowe limity + obejście XFF — Nielimitowany login obok limitowanego API; limity omijane przez X-Forwarded-For.
- Stare wersje API — Endpointy v1 bez autoryzacji obecnej w v2, usunięte endpointy nadal działające.
- GraphQL — Introspekcja na produkcji i brak limitów złożoności zapytań.
- Kontrola OAuth redirect_uri — Otwarte przekierowania na endpointcie autoryzacji (kradzież code/token).
- Łańcuch CORS + preflight CSRF — null Origin, obejście allowlisty podobną domeną, preflight na endpointach zapisu.
- Kanarek SSRF — Twój serwer proszony o pobranie naszego URL — callback dowodzi żądań server-side.
Poza automatycznym skanerem autonomiczny agent AI prowadzi prawdziwy test penetracyjny w stylu człowieka na środowisku dev/staging — tylko dla zweryfikowanych domen (localhost / prywatne IP są zwolnione). Agent:
- planuje atak (IDOR/BOLA, złamana autoryzacja, injection, sekrety, mass assignment) i koryguje go wraz z odkryciami,
- sonduje krok po kroku, porównując Twoje zasoby z zasobami innego użytkownika, eskalując role i szukając sekretów,
- potrafi napisać i uruchomić własny kod sondujący w bezpiecznym sandboxie, gdy trafi na ścianę,
- pisze końcową ocenę AI — poziom ryzyka, przebieg testu i konkretne poprawki — a Ty widzisz, jak myśli na żywo.
Twój URL i dane dostępowe nigdy nie trafiają do AI — agent widzi tylko względne ścieżki, a żądania wykonuje serwer. Zdecydowanie odradzamy uruchamianie na produkcji — może zepsuć lub zniszczyć system, więc nigdy tam nie działa.
Testuj całe środowisko — dev, staging i produkcję
Podłącz to samo API w każdym środowisku i skanuj je, gdy wydanie idzie do przodu. Te same 430+ sprawdzeń są automatycznie powtarzane przy każdym wdrożeniu — zespół nigdy nie sprawdza ręcznie tego samego endpointu dwa razy.
Skanuj ścieżkę każdego wydania
Przypisz jedno API do wielu środowisk — development, staging, produkcja — każde z własnym bazowym URL. Uruchamiaj skan w dowolnym środowisku na żądanie albo pozwól schedulerowi sprawdzać je stale.
- ✓ Development — łap problemy przed merge
- ✓ Staging — weryfikuj release candidate
- ✓ Produkcja — monitoruj żywe API stale
- ✓ Blokuj promocję, gdy etap nie przejdzie
- ✓ Zapomnij o ręcznym retestowaniu — automatyzacja pokrywa te same ścieżki za każdym razem
- ✓ Wydawaj nowe wersje szybciej — bezpieczeństwo jedzie obok, nigdy nie blokuje
Zautomatyzuj nudne 90%.
Regresyjne testowanie tych samych endpointów przed każdym wydaniem to praca maszynowa. Robimy to przy każdym wdrożeniu i według harmonogramu — ludzie oceniają tylko to, co naprawdę nowe. Tak zespoły wydają co tydzień bez powiększania backlogu bezpieczeństwa.
To widzą Twoi klienci
Prawdziwy certyfikat i raport za nim — przejrzysty, precyzyjny i zawsze aktualny.
- Ostatni skan
- Jul 7, 2026 · 09:41
- Otwarte podatności
- 0
- Naprawione
- 12
- Zakres testów
- BOLA, injection, rate limit…
Automatyczne testy bezpieczeństwa, a nie pełny audyt. Certyfikat nie stanowi gwarancji bezpieczeństwa.
Publiczna Trust Page · widoczna na liveapisec.com/trust/payments-api
Historia skanów i znaleziska w Twoim panelu
Zamień bezpieczeństwo w atut sprzedażowy
Klienci przestają pytać „czy nasze dane są bezpieczne?”, a zaczynają widzieć dowody. Publiczna Trust Page pokazuje dokładnie, co i kiedy przetestowano oraz co naprawiono — uczciwym, precyzyjnym językiem. Bez mglistych badge’y.
- ✓ Publiczny endpoint z historią skanów
- ✓ Precyzyjne sformułowanie: „przeszło automatyczne testy w testowanym zakresie”
- ✓ Poprawki i regresje śledzone w czasie
- ✓ Publiczna Trust Page od planu Live w górę
Pokazuj status bezpieczeństwa, gdzie chcesz
Osadź te widgety na stronie, w dokumentacji lub na stronie cennika. Aktualizują się automatycznie przy każdym skanie — żywe dane, zero ręcznej pracy.
Mała pigułka do nagłówka lub stopki.
Otwarte / naprawione / testy w jednym miejscu.
Kompaktowa karta skanu.
Pasek pełnej szerokości na stronę zaufania lub cennika.
Ostrzegaj o nowych problemach na ścieżce wydania.
<a href="https://liveapisec.com/trust/payments-api" title="Verified by LiveApiSec" style="text-decoration:none;display:inline-block;color:inherit"><div data-liveapisec-widget data-slug="payments-api" data-type="badge"></div></a> <script src="https://liveapisec.com/widget.js" async></script>
Typy: badge · banner · card. Cały widget jest klikalny (prowadzi do Twojej Trust Page) i pokazuje się dopiero, gdy projekt przejdzie testy. Opcjonalny data-name="..." dodaje Twoją etykietę obok marki.
Zaufanie się projektuje, nie deklaruje
Jak chronimy Twoje dane, API i klientów.
Dane dostępowe szyfrowane AES-256
Klucze API są szyfrowane w spoczynku algorytmem AES-256-GCM i nigdy nie trafiają do logów ani nie są pokazywane jawnie.
Weryfikacja własności przez DNS
Skanujemy API dopiero po potwierdzeniu własności rekordem DNS TXT — z zapisem do audytu.
Skaner w izolowanym sandboxie
Skany działają w sandboxie z twardymi limitami czasu i liczby żądań, więc nigdy nie przeciążą Twojego API.
Procesy zgodne z SOC 2
Polityki, audyty i raportowanie dowodów przygotowane pod procurement enterprise.
Obsługa danych zgodna z RODO
Minimalny zakres danych, opcja hostingu w UE i usuwanie danych na żądanie.
Dostęp według minimalnych uprawnień
Nasz zespół nigdy nie może odczytać Twoich sekretów; skaner trzyma je w pamięci tylko podczas działania.
Plany, które rosną razem z Tobą
Jeden manualny pentest kosztuje 15 000 USD+ i traci ważność przy następnym wdrożeniu. SaaS działa cały rok za mniej niż jedną dziesiątą tego.
Dev
Dla developerów i freelancerów. Tylko CLI, bez certyfikatu online.
Autonomiczny pentest AI — tylko dev/staging
Live
Testy online dla API i SaaS — ciągły monitoring, bez CLI i CI/CD.
Autonomiczny pentest AI — tylko dev/staging
SaaS
Pełna ścieżka CI/CD + monitoring online + publiczny certyfikat — dla rosnących zespołów.
Autonomiczny pentest AI — tylko dev/staging
Team
Dla organizacji z dużą liczbą API. Wszystko, bez limitu projektów.
Autonomiczny pentest AI — tylko dev/staging
Enterprise
Dla organizacji stawiających na bezpieczeństwo na dużą skalę.
Autonomous AI pentest — dev/staging only
W zestawie także
- ✓ Priorytetowa kolejka skanów
- ✓ Raport dowodowy SOC 2
- ✓ SSO / SAML
- ✓ SLA i dedykowane wsparcie
Plan Dev — bez karty kredytowej · 14-dniowa gwarancja zwrotu · Anuluj w każdej chwili
Każdy plan, każda funkcja
Porównaj wszystkie możliwości obok siebie — bez ukrytych limitów i drobnego druku. Każdy plan to pełny produkt.
| Funkcja | Dev | Live | SaaS | Team | Enterprise |
|---|---|---|---|---|---|
| Ciągłe testowanie bezpieczeństwa API | |||||
Pakiet OWASP API Top 10 8 deterministycznych kategorii testów: BOLA/IDOR, złamana autoryzacja, mass assignment, injection, rate limiting, CORS, nagłówki bezpieczeństwa, wrażliwe parametry | ✓ | ✓ | ✓ | ✓ | ✓ |
Pakiet deep scan (deterministyczny) Słabości JWT (alg=none, słaby HMAC, brak exp), podmiana metod HTTP, eskalacja uprawnień przez mass assignment, fingerprint technologii + wersje EOL, ujawnianie informacji (.git/.env/debug/actuator/stack trace), różnicowe limity + obejście XFF, stare wersje API, introspekcja GraphQL + złożoność, kontrola OAuth redirect_uri, CORS null-origin + obejście allowlisty + preflight CSRF, kanarek SSRF, shadow API | ✓ | ✓ | ✓ | ✓ | ✓ |
Obsługiwane formaty API REST (OpenAPI/Swagger), RAML 0.8/1.0, GraphQL (introspekcja/SDL), SOAP (WSDL) | ✓ | ✓ | ✓ | ✓ | ✓ |
Automatyczne odkrywanie endpointów Przeszukuje HTML/JS, sitemap i typowe ścieżki API — OpenAPI nie jest wymagane | ✓ | ✓ | ✓ | ✓ | ✓ |
Wykrywanie shadow API i driftu Nieudokumentowane endpointy, regresje i zmiany konfiguracji między wdrożeniami | ✓ | ✓ | ✓ | ✓ | ✓ |
Payloady testowe generowane przez AI Payloady dopasowane do Twojej specyfikacji przez LLM | ✓ | ✓ | ✓ | ✓ | ✓ |
Triage AI i filtrowanie false positives Werdykty LLM (prawdziwe / false positive) z poziomem pewności — na deterministycznym jądrze | ✓ | ✓ | ✓ | ✓ | ✓ |
| Limity ciągłego monitoringu | |||||
Łączna liczba endpointów Unikalne endpointy we wszystkich projektach | 5 000 | 200 | 5 000 | 25 000 | Indywidualnie / ∞ |
Częstotliwość testów live Jak często ponawiamy testy API przez całą dobę (na Dev tylko CLI) | — (tylko CLI) | Co 24 h | Co 24 h | Co 1 h | Co 15 min / indywidualnie |
Testy manualne / miesiąc Skany na żądanie, które możesz uruchomić w każdej chwili | 30 | 0 | 50 | 2 000 | Bez limitu |
Projekty Osobne produkty, środowiska lub klienci, każdy z własnym certyfikatem | 1 | 1 | 1 | Bez limitu | Bez limitu |
Środowiska (dev / staging / prod) Testuj to samo API na każdym etapie wdrożenia | Bez limitu | Bez limitu | Bez limitu | Bez limitu | Bez limitu |
Użytkownicy zespołu Członkowie organizacji z dostępem do panelu | 1 | 3 | 10 | 50 | Bez limitu |
| Doświadczenie developera i CI/CD | |||||
CLI + Developer API CLI liveapisec (push, scan, gate releases) i REST API dla agentów — wymagane do CI/CD | ✓ | — | ✓ | ✓ | ✓ |
Webhooki CI/CD Prywatne testy uruchamiane przy każdym wdrożeniu — bez wpływu na publiczny status | ✓ | — | ✓ | ✓ | ✓ |
Werdykt CI względem baseline Blokuj wdrożenia tylko przy nowych znaleziskach (pass/fail + liczba new/fixed/persisting) | ✓ | — | ✓ | ✓ | ✓ |
Wyzwalacze wdrożeń GitHub / GitLab Automatyczne podłączanie repozytoriów do testów po wdrożeniu | ✓ | — | ✓ | ✓ | ✓ |
Postęp skanu live i log agenta Śledź każdy krok skanu w czasie rzeczywistym | ✓ | ✓ | ✓ | ✓ | ✓ |
| Zaawansowane testy AI | |||||
Pentest live w trybie hacker (AI) Autonomiczny pentest w stylu człowieka, który planuje, sonduje i pivotuje | — | — | ✓ | ✓ | ✓ |
Plan ataku + rewizja Agent prowadzi jawny plan ataku i aktualizuje go wraz z odkryciami | — | — | ✓ | ✓ | ✓ |
Wykonywanie kodu w sandboxie Agent pisze i uruchamia własny kod sondujący w izolowanym sandboxie | — | — | ✓ | ✓ | ✓ |
Ukierunkowane cele ataku Skup agenta na IDOR, eskalacji, sekretach lub injection | — | — | ✓ | ✓ | ✓ |
Ask mode (kwestionariusz kodu) 270 weryfikowalnych pytań o to, czego skaner nie widzi z zewnątrz (kod, RBAC, izolacja tenantów, kryptografia, SDLC) — odpowiadasz Ty lub Twój asystent AI, z pytaniami uzupełniającymi AI | — | — | ✓ | ✓ | ✓ |
| Zaufanie i zgodność | |||||
Publiczna Trust Page Żywy certyfikat z historią skanów, który możesz pokazać klientom | — | ✓ | ✓ | ✓ | ✓ |
Widgety do osadzenia Badge, banner, karta, licznik, alert — gotowe do wklejenia na stronę | — | ✓ | ✓ | ✓ | ✓ |
Weryfikacja domeny Dowód własności DNS TXT / CNAME / plik HTTP (dziennik audytu) | ✓ | ✓ | ✓ | ✓ | ✓ |
Dane dostępowe szyfrowane AES-256 Klucze API szyfrowane w spoczynku, nigdy nie trafiają do logów | ✓ | ✓ | ✓ | ✓ | ✓ |
Allowlista adresów IP skanera Stałe adresy egress do dodania w firewallu/WAF | ✓ | ✓ | ✓ | ✓ | ✓ |
Raport dowodowy SOC 2 Raport bezpieczeństwa gotowy do procurementu | — | — | — | — | ✓ |
Mapowanie zgodności (PCI DSS / SOC 2 / ISO 27001 / GDPR / NIS2) Otwarte znaleziska pogrupowane według wymagań frameworka — orientacyjne mapowanie dla audytora (nie certyfikacja) | — | — | ✓ | ✓ | ✓ |
SSO / SAML Logowanie jednokrotne dla organizacji | — | — | — | — | ✓ |
Priorytetowa kolejka skanów Twoje skany przechodzą poza kolejkę | — | — | — | — | ✓ |
SLA i dedykowane wsparcie Gwarantowany uptime i przypisany inżynier | — | — | — | — | ✓ |
Każdy plan obejmuje pełne pokrycie
Jedna subskrypcja obejmuje wszystkie formaty, wszystkie kategorie OWASP API Top 10 i cały toolchain — nic nie jest sprzedawane osobno.
Pentest live w trybie hacker (AI)
Autonomiczny pentest w stylu człowieka: agent planuje atak, krok po kroku sonduje endpointy, pisze i uruchamia własny kod w sandboxie oraz dostarcza ocenę napisaną przez AI wraz z poprawkami. Dostępny od planu SaaS — tylko dev/staging, nigdy produkcja.
Formaty API
OWASP API Top 10 — testowane
Języki i frameworki wykrywane przez CLI (scan-code)
✨ Regularnie dodajemy nowe formaty i testy. Enterprise otrzymuje wsparcie własnych protokołów i dedykowany roadmap.
Pytania i uczciwe odpowiedzi
Czy moje API jest bezpieczne do testowania?+
Tak. Skaner działa w sandboxie z rygorystycznym tempem, timeoutami i limitami żądań. Harmonogram wybierasz sam i możesz w każdej chwili wstrzymać testy.
Czy to prawdziwy test penetracyjny?+
Tak — automatyczny test penetracyjny API. Uruchamiamy symulacje ataków z OWASP API Top 10 (BOLA/IDOR, złamana autoryzacja, injection, mass assignment, rate limiting, CORS, nagłówki bezpieczeństwa, shadow API) oraz testy deep scan (słabości JWT, podmiana metod HTTP, eskalacja uprawnień przez mass assignment, fingerprint technologii z wersjami EOL) na żądanie lub według harmonogramu, jak automatyczny pentester. Uzupełnia manualny pentest prowadzony przez człowieka, a nie zastępuje go.
Czy mogę uruchomić żywy test penetracyjny prosto ze strony?+
Tak. Dodaj API lub wklej specyfikację OpenAPI i kliknij „Uruchom żywy pentest” — sandbox zaczyna testować od razu, a Ty widzisz przebieg w terminalu. Ten sam test jest dostępny z CLI (liveapisec scan) dla CI/CD.
Czym jest „Hacker mode (AI)”?+
To autonomiczny agent AI, który przeprowadza prawdziwy test penetracyjny w stylu człowieka na Twoim API (tylko dev/staging, nigdy produkcja): planuje atak, krok po kroku sonduje endpointy — próbując IDOR, złamanej autoryzacji, injection, sekretów i mass assignment — obserwuje odpowiedzi, koryguje się i pisze końcową ocenę z poprawkami. Potrafi nawet napisać i uruchomić własny kod sondujący w sandboxie. Działa ręcznie na żądanie, wymaga zweryfikowanej domeny dla publicznych celów (localhost / prywatne IP są zwolnione), a Twój URL i dane dostępowe nigdy nie trafiają do AI. Zdecydowanie odradzamy uruchamianie go na produkcji — może zepsuć lub zniszczyć system.
Czy przechowujecie moje dane dostępowe?+
Dane dostępowe są szyfrowane algorytmem AES-256-GCM w spoczynku i odszyfrowywane wyłącznie w pamięci podczas skanu. Nigdy nie trafiają do logów ani nie są pokazywane jawnie.
Co właściwie oznacza „passed” na certyfikacie?+
Że API przeszło automatyczne testy OWASP API Top 10 w testowanym zakresie w konkretnym dniu. Nigdy nie twierdzimy, że zapewniamy absolutne bezpieczeństwo — treść certyfikatu jest celowo precyzyjna.
Jak weryfikujecie, że jestem właścicielem API?+
Potwierdzasz własność rekordem DNS TXT (lub ręcznym potwierdzeniem w niższych planach). Każda autoryzacja jest zapisywana z datą i zakresem.
Jak liczone są endpointy?+
Endpoint to unikalna metoda HTTP + ścieżka w projekcie (np. GET /users). Endpointy sumują się we wszystkich projektach; środowiska współdzielą tę samą specyfikację, więc nie mnożą licznika. Panel pokazuje bieżące zużycie (X / Y endpointów), więc zawsze wiesz, na czym stoisz.
Czy wszystkie plany obejmują CI/CD i pełny pakiet OWASP?+
Każdy plan obejmuje pakiet OWASP API Top 10 baseline i pełny pakiet deep scan. Plan Dev jest tylko CLI dla developerów (bez certyfikatu online i skanów z harmonogramu). Live dodaje ciągły monitoring online i publiczną Trust Page, ale bez CLI/CI-CD. SaaS daje jedno i drugie — CLI/CI-CD oraz certyfikat — a do tego mapowanie zgodności. Hacker mode (AI) zaczyna się od SaaS; Ask mode (kwestionariusz kodu) również od SaaS. Dodatki Enterprise (raport SOC 2, SSO, priorytetowa kolejka, SLA) są w Enterprise.
Czym to się różni od manualnego pentestu?+
Manualny pentest to zdjęcie w czasie: 15 tys. USD+, 2–4 tygodnie oczekiwania, nieaktualny przy następnym wdrożeniu. My uruchamiamy te same klasy ataków OWASP stale — przy każdym wdrożeniu, każdej nocy — za mniej niż jedną dziesiątą ceny. Używaj nas, żeby być czystym przez cały rok, a ludzi zapraszaj raz w roku do rzeczy egzotycznych.
Czy to zepsuje moją produkcję?+
Nie. Standardowe skany to odczyty z wyważonym tempem, twardymi limitami czasu i żądań oraz izolowanym sandboxem — nie mogą modyfikować danych. Destrukcyjny jest tylko Hacker mode (AI), dlatego jest całkowicie zablokowany na produkcji i działa wyłącznie na dev/staging.
Co się dzieje, gdy o 3:00 znajdziecie coś krytycznego?+
Dostajesz alert w kilka sekund — e-mail, Slack lub webhook, według wyboru — ze znaleziskiem, dowodem i poprawką. Znaleziska krytyczne i wysokie mogą też zablokować wdrożenie przez endpoint werdyktu CI, więc podatność nigdy nie trafia na produkcję.
Czy mogę zmienić plan w każdej chwili?+
Tak. Upgrade działa natychmiast, downgrade w następnym cyklu rozliczeniowym, a Ty zachowujesz wszystkie dotychczasowe skany i certyfikaty. Płatne plany mają 14-dniową gwarancję zwrotu.
Twój pierwszy pentest jest bezpłatny
Bez karty kredytowej. Bez rozmowy sprzedażowej. Wyniki w ~2 minuty — potem decyduj na podstawie dowodów, nie obietnic.
Uruchom darmowy pentest →