Nie Ty? Wybierz swoją rolę:
Wdrażaj w piątek. Śpij przez cały weekend.
Bezpieczeństwo, które żyje w Twoim pipeline, a nie w PDF-ie wysyłanym raz w roku. Skan baseline przy każdym pushu — build pada tylko przy NOWYCH znaleziskach, nigdy przez zaakceptowany dług techniczny.
430+ sprawdzeń · pierwszy raport w ~2 minuty · bez karty kredytowej
- Ostatni skan
- Jul 7
- Uruchomione testy
- 430+
- Otwarte
- 0
Zaufali nam zespoły, które dbają o bezpieczeństwo
ridolangmasdrivKontaktAppapudqi
'/%3e%3crect%20width='128'%20height='128'%20rx='30'%20fill='url(%23mdIcong)'/%3e%3c!--%20speed%20streaks%20--%3e%3cg%20fill='%23ffffff'%3e%3crect%20x='9'%20y='46'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3crect%20x='4'%20y='60'%20width='20'%20height='9'%20rx='4.5'%20opacity='0.6'/%3e%3crect%20x='9'%20y='75'%20width='16'%20height='8'%20rx='4'%20opacity='0.38'/%3e%3c/g%3e%3c!--%20M%20monogram%20(optically%20centred:%20bounds%2032.5%20..%2095.5)%20--%3e%3cpath%20d='M40%2091%20V37%20L64%2064%20L88%2037%20V91'%20fill='none'%20stroke='%23ffffff'%20stroke-width='15'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3c/svg%3e)
Mówi językiem Twojego API
Liczby zbiorcze ze wszystkich skanów LiveAPISec do dziś.
Wdrażaj szybko i zachowaj bezpieczeństwo
To dylemat czujesz w każdy piątek: wdrażać czy sprawdzać?
Rynek wymaga szybkości
Funkcje co tydzień, wdrożenia codziennie. Zwalnianie na manualny przegląd bezpieczeństwa przed każdym wydaniem nie wchodzi w grę — konkurencja nie będzie czekać.
…ale klienci wymagają bezpieczeństwa
Klienci powierzają Ci swoje dane. Każdy BOLA czy IDOR to ich dane w cudzych rękach. Jeden wyciek i zaufanie (oraz umowa) znika.
Brzmi znajomo?
Jeśli któryś z nich boli, ten produkt istnieje dla Ciebie.
Prawdziwy strach: wdrożyć coś niebezpiecznego — i dowiedzieć się o tym od kogoś innego
Nie nieudany build. Nie ticket. Wiadomość o 3:00, że dane klientów były dostępne, cisza na kanale incydentu, post-mortem, z którego wynika, że nikt nie sprawdzał tego endpointu od marca. Twoje nazwisko jest przy tym commicie — a naprawa błędu nigdy w pełni nie naprawia historii, którą ludzie pamiętają.
Z tym rozwiązaniem chronisz reputację, nie tylko wydanie: przestajesz mieć nadzieję i zaczynasz stwierdzać — to API jest testowane przy każdym pushu, oto dowody.
Hałaśliwe skanery, które krzyczą wilk
Każdy push świeci na czerwono 50 „znaleziskami”, które już oceniłeś. Uczysz się ignorować krok bezpieczeństwa — aż prawdziwy BOLA trafia na produkcję.
Znaleziska bez kroków reprodukcji
„Potencjalny injection na /search” i nic więcej. Dwie godziny zgadywania, czy to prawda, i kolejna godzina, żeby udowodnić, że nie.
Przegląd bezpieczeństwa jako wąskie gardło wydania
Piątkowe wdrożenie czeka w kolejce do człowieka. Wybór: wdrażać na ślepo albo przegapić okno — oba są złe.
Szybko albo bezpiecznie — wybierz jedno (już nie)
Produkt chce piątkowych wdrożeń; bezpieczeństwo chce tygodnia przeglądu. Ręczne sprawdzanie tych samych ścieżek sprawia, że obie strony przegrywają. Automatyczna regresja przy każdym pushu kończy ten kompromis.
Pozwól agentowi AI to podłączyć
CLI to cała powierzchnia — bez klikania w panelu. Dowolny agent kodujący (Claude Code, Cursor, Copilot, Codex) może dodać skanowanie do oprogramowania, które już masz: odkryje endpointy, wypchnie je i napisze bramkę CI za Ciebie. Wklej to do agenta i sprawdź diff:
Dodaj skanowanie bezpieczeństwa API LiveAPISec do tego repozytorium.
1. Zainstaluj CLI: pipx install liveapisec
2. Wykryj mój framework i istniejące endpointy.
3. Uruchom: liveapisec scan-code --dir . --json
4. Dodaj GitHub Action, który uruchamia:
liveapisec scan --project <project_id> \
--wait --fail-on high
Klucz API z secrets.LIVEAPISEC_KEY.
5. Pokaż mi diff workflow przed commitem.# 1 · install once
$ pipx install liveapisec
# 2 · discover and register your endpoints
$ liveapisec scan-code --dir .
# 3 · scan and gate the build
$ liveapisec scan --project 6f2c --wait --fail-on high
✓ 430+ checks · 0 new findings · certificate updatedTa sama ścieżka ręcznie: pipx install liveapisec → liveapisec scan-code --dir . → liveapisec scan --project <id> --wait --fail-on high. CLI w Pythonie, SDK w Pythonie i zwykłe REST API — cokolwiek Twój agent zna najlepiej.
Wrzuć to do swojego pipeline już dziś
Jedna GitHub Action, ustawiona raz. Każdy push automatycznie powtarza te same 430+ sprawdzeń — koniec ręcznego sprawdzania endpointów przed wydaniem. Tylko prawdziwe regresje zatrzymują build.
# 430+ checks on every push to main
jobs:
pentest:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- uses: liveapisec/scan@v1
with:
api-key: ${{ secrets.LIVEAPISEC_KEY }}
spec: openapi.yaml
env: staging
verdict: true
fail-on: new:highfail-on: new:high — build pada tylko przy naprawdę nowych znaleziskach o wysokiej wadze. Zaakceptowany dług zostaje zielony.
{
"verdict": "fail",
"new": [
{ "id": "F-1204", "severity": "high",
"title": "BOLA: /payments/{id} leaks
another user’s resource" }
],
"fixed": ["F-1184", "F-1183"],
"blocking": ["F-1204"]
}Naprawione znaleziska też są na liście — opis PR pisze się sam.
Prawdziwy interfejs raportu — ten sam co na stronie głównej, z dowodami na poziomie payloadu przy każdym znalezisku.
Zbudowane pod Twoje problemy
Werdykt CI, nie szum CI
Endpoint werdyktu porównuje każdy skan z baseline i zatrzymuje build tylko przy nowych problemach. Znane znaleziska nigdy nie blokują wdrożenia.
Dowody przy każdym znalezisku
Payloady, żądania, odpowiedzi — wszystko, czego potrzebujesz, żeby odtworzyć i naprawić problem w kilka minut, prosto w panelu. Bez „u mnie działa”.
CLI-first, wartość w 2 minuty
liveapisec push + scan z terminala lub GitHub Actions. Bez rozmów sprzedażowych, dokumentów o zakresie i czekania 3 tygodni na PDF.
SaaS albo dedykowane — pokryte w obie strony
Wydajesz wersje single-tenant lub on-prem? Ten sam pipeline — inny bazowy URL i klucz dla każdego wdrożenia klienta, z izolowanymi skanami i własnym certyfikatem.
Wszystko, czego potrzebuje bezpieczeństwo Twojego API
Wszystko poniżej to jeden produkt — bez modułów i labiryntu upsellów.
Ciągłe testy penetracyjne API
Twoje API jest testowane 24/7 pod kątem OWASP API Security Top 10 — BOLA/IDOR, złamana autoryzacja, mass assignment, injection, limity zapytań i więcej.
Żywy certyfikat zaufania
Przejrzysty, zawsze aktualny certyfikat, który klient może otworzyć. Widać dokładnie, co i kiedy przetestowano oraz co naprawiono.
Wykrywa drift między wdrożeniami
Większość problemów pojawia się po wdrożeniu: zmiany konfiguracji, ukryte endpointy, wyłączone limity. Obserwujemy API stale.
Webhooki CI/CD
Uruchamiaj prywatny test przy każdym wdrożeniu. Developerzy dostają wyniki bez wpływu na publiczny status certyfikatu.
Werdykt CI względem baseline
Blokuj wdrożenia tylko przy NOWYCH znaleziskach — endpoint werdyktu porównuje każdy skan z baseline, więc znane i zaakceptowane problemy nie blokują wdrożeń.
Triage wspierany przez AI
Mniej false positives. AI klasyfikuje i priorytetyzuje znaleziska, opierając się na w pełni deterministycznym jądrze, które możesz odtworzyć.
Zero przechowywania sekretów
Dane dostępowe są szyfrowane (AES-256) i nigdy nie trafiają do logów. Widzisz je tylko Ty i skaner.
Uruchom w mniej niż 10 minut
Od zera do pierwszego raportu szybciej niż przerwa na kawę.
Podłącz API
Wgraj specyfikację OpenAPI, RAML, GraphQL lub SOAP/WSDL — albo podaj URL. Dodaj dane dostępowe: klucz API, Bearer, Basic lub OAuth2.
Testujemy je stale
Deterministyczny silnik uruchamia testy penetracyjne OWASP API Top 10 według harmonogramu, który kontrolujesz — lub na żądanie — z wyważonym tempem, żeby nigdy nie przeciążyć API.
Pokaż certyfikat
Osadź żywą Trust Page na swojej stronie. Klienci widzą prawdziwe, aktualne dowody — nie pusty badge.
Zobacz dokładnie, jak to działa
To działa za Twoim krokiem w pipeline.
1 · Połącz w mniej niż minutę
2 · 430+ sprawdzeń działa samo
Choose how you want to be informed — always.
3 · Krytyczne alerty w sekundach
19 typów testów, zero machania rękami
Dokładnie ten pakiet co na stronie głównej — każdy skan, każdy push.
BOLA / IDOR
Próbuje dostać się do zasobów innych użytkowników, podmieniając identyfikatory w ścieżkach i parametrach.
Złamana autoryzacja
Wysyła żądania bez tokenu lub z błędnym tokenem, żeby znaleźć niechronione endpointy.
Mass assignment
Dodaje nadmiarowe pola do payloadu, żeby sprawdzić, czy serwer przyjmuje więcej, niż powinien.
Injection (SQL / NoSQL)
Sonduje injection SQL, NoSQL i JSON, wykrywając sygnatury błędów.
Rate limiting
Wysyła serię żądań, żeby sprawdzić brak ograniczania 429.
Błędna konfiguracja CORS
Podstawia wrogi Origin i sprawdza, czy poświadczenia są dozwolone.
Nagłówki bezpieczeństwa
Sprawdza HSTS, X-Content-Type-Options i pozostałe nagłówki utwardzające.
Wrażliwe parametry
Szuka sekretów przekazywanych w query stringu zamiast w nagłówkach lub body.
Słabości JWT
alg=none, sfałszowane payloady, słabe sekrety HMAC, brak exp, injection kid.
Podmiana metod HTTP
Niezadeklarowane metody (DELETE, PATCH…), które omijają kontrolę dostępu per metoda.
Eskalacja uprawnień przez mass assignment
Niezadeklarowane pola ról, które serwer zwraca bez zmian.
Fingerprint technologii + EOL
Wykrywanie stacku z oznaczaniem wersji po końcu wsparcia.
Ujawnianie informacji
.git, .env, endpointy debug, actuator, metryki, publiczne specyfikacje, stack trace.
Różnicowe limity + obejście XFF
Nielimitowany login obok limitowanego API; limity omijane przez X-Forwarded-For.
Stare wersje API
Endpointy v1 bez autoryzacji obecnej w v2, usunięte endpointy nadal działające.
GraphQL
Introspekcja na produkcji i brak limitów złożoności zapytań.
Kontrola OAuth redirect_uri
Otwarte przekierowania na endpointcie autoryzacji (kradzież code/token).
Łańcuch CORS + preflight CSRF
null Origin, obejście allowlisty podobną domeną, preflight na endpointach zapisu.
Kanarek SSRF
Twój serwer proszony o pobranie naszego URL — callback dowodzi żądań server-side.
Uruchom żywy test penetracyjny — teraz
Prawdziwy pentest przy każdym wdrożeniu na staging. Patrz, jak sonduje, i czytaj dowody.
Deterministyczny pentest na żądanie
Setki symulacji ataków OWASP API Top 10 z wyważonym tempem, w bezpiecznym sandboxie. Bez angażowania dostawcy, bez czekania, bez ryzyka dla ruchu produkcyjnego.
- ✓ Prawdziwy ruch atakujący — nie skan checklisty
- ✓ Bezpieczny sandbox z twardymi limitami czasu i żądań
- ✓ Dowody przy każdym znalezisku, gotowe do naprawy
Hacker mode (AI) — myśli jak atakujący
Agent planuje atak, sonduje krok po kroku, pisze i uruchamia własny kod w sandboxie, gdy utknie, i dostarcza ocenę napisaną przez AI wraz z poprawkami. Od planu Live — tylko dev/staging, nigdy produkcja.
- ✓ Autonomiczne planowanie ataku w stylu człowieka
- ✓ Zablokowany na produkcji z założenia
- ✓ Twój URL nigdy nie trafia do AI — żądania wykonuje serwer
Testuj całe środowisko — dev, staging i produkcję
To samo API, trzy bazowe URL-e. Pipeline skanuje każdy z nich.
Skanuj ścieżkę każdego wydania
- ✓ Development — łap problemy przed merge
- ✓ Staging — weryfikuj release candidate
- ✓ Produkcja — monitoruj żywe API stale
- ✓ Blokuj promocję, gdy etap nie przejdzie
- ✓ Zapomnij o ręcznym retestowaniu — automatyzacja pokrywa te same ścieżki za każdym razem
Tak wygląda „przetestowane”
To pokazuje Twój panel po każdym skanie.
- Ostatni skan
- Jul 7, 2026 · 09:41
- Otwarte podatności
- 0
- Naprawione
- 12
- Zakres testów
- BOLA, injection, rate limit…
Automatyczne testy bezpieczeństwa, a nie pełny audyt. Certyfikat nie stanowi gwarancji bezpieczeństwa.
Zamień bezpieczeństwo w atut sprzedażowy
Skieruj zespół — nie tylko klientów — na te same dowody.
- ✓ Publiczny endpoint z historią skanów
- ✓ Precyzyjne sformułowanie: „przeszło automatyczne testy w testowanym zakresie”
- ✓ Poprawki i regresje śledzone w czasie
- ✓ Publiczna Trust Page w każdym planie
- Ostatni skan
- Jul 7
- Uruchomione testy
- 430+
- Otwarte
- 0
Bezpieczne dla Twojego API
Dane dostępowe szyfrowane AES-256
Klucze API są szyfrowane w spoczynku algorytmem AES-256-GCM i nigdy nie trafiają do logów ani nie są pokazywane jawnie.
Weryfikacja własności przez DNS
Skanujemy API dopiero po potwierdzeniu własności rekordem DNS TXT — z zapisem do audytu.
Skaner w izolowanym sandboxie
Skany działają w sandboxie z twardymi limitami czasu i liczby żądań, więc nigdy nie przeciążą Twojego API.
Procesy zgodne z SOC 2
Polityki, audyty i raportowanie dowodów przygotowane pod procurement enterprise.
Obsługa danych zgodna z RODO
Minimalny zakres danych, opcja hostingu w UE i usuwanie danych na żądanie.
Dostęp według minimalnych uprawnień
Nasz zespół nigdy nie może odczytać Twoich sekretów; skaner trzyma je w pamięci tylko podczas działania.
Liczby, które sprzedają się same
do pierwszego raportu
Szybciej niż przerwa na kawę. Wypróbuj przed końcem standupu.
blokad przez false positives
Tylko NOWE znaleziska zatrzymują build. Twoje piątki zostają zielone.
testów na skan
Te same klasy ataków OWASP, które sprawdzają audytorzy — automatycznie.
Zacznij za darmo, ulepsz gdy się opłaci
Jeden manualny pentest kosztuje 15 000 USD+. SaaS działa cały rok za mniej niż jedną dziesiątą tego. Porównaj wszystkie funkcje →
SaaS
Pełna ścieżka CI/CD + monitoring online + publiczny certyfikat — dla rosnących zespołów.
Wybierz SaaSPytania i uczciwe odpowiedzi
Czy to zarzuci moje API tysiącami żądań?+
Nie. Wyważone tempo z twardymi limitami czasu i żądań, a standardowe skany to odczyty. Możesz też ustawić limit żądań na minutę dla każdego środowiska. Hacker mode (AI) to jedyny agresywny silnik — i jest całkowicie zablokowany na produkcji.
Co dokładnie zwraca endpoint werdyktu CI?+
JSON: { verdict: "pass" | "fail", new: [...], fixed: [...], persisting: [...], blocking: [...] } — porównany z Twoim skanem baseline. Ustaw fail_on=new:high i tylko prawdziwe regresje zatrzymają build.
Czy mogę skanować podglądy PR i localhost?+
Tak dla URL-i podglądu PR. Localhost działa przez tunel naszego CLI — skan uruchamia się z Twojej maszyny, więc nic nie musi być publicznie dostępne.
Czy moje API jest bezpieczne do testowania?+
Tak. Skaner działa w sandboxie z rygorystycznym tempem, timeoutami i limitami żądań. Harmonogram wybierasz sam i możesz w każdej chwili wstrzymać testy.
Czy to prawdziwy test penetracyjny?+
Tak — automatyczny test penetracyjny API. Uruchamiamy symulacje ataków z OWASP API Top 10 (BOLA/IDOR, złamana autoryzacja, injection, mass assignment, rate limiting, CORS, nagłówki bezpieczeństwa, shadow API) oraz testy deep scan (słabości JWT, podmiana metod HTTP, eskalacja uprawnień przez mass assignment, fingerprint technologii z wersjami EOL) na żądanie lub według harmonogramu, jak automatyczny pentester. Uzupełnia manualny pentest prowadzony przez człowieka, a nie zastępuje go.
Czy mogę uruchomić żywy test penetracyjny prosto ze strony?+
Tak. Dodaj API lub wklej specyfikację OpenAPI i kliknij „Uruchom żywy pentest” — sandbox zaczyna testować od razu, a Ty widzisz przebieg w terminalu. Ten sam test jest dostępny z CLI (liveapisec scan) dla CI/CD.
Czym jest „Hacker mode (AI)”?+
To autonomiczny agent AI, który przeprowadza prawdziwy test penetracyjny w stylu człowieka na Twoim API (tylko dev/staging, nigdy produkcja): planuje atak, krok po kroku sonduje endpointy — próbując IDOR, złamanej autoryzacji, injection, sekretów i mass assignment — obserwuje odpowiedzi, koryguje się i pisze końcową ocenę z poprawkami. Potrafi nawet napisać i uruchomić własny kod sondujący w sandboxie. Działa ręcznie na żądanie, wymaga zweryfikowanej domeny dla publicznych celów (localhost / prywatne IP są zwolnione), a Twój URL i dane dostępowe nigdy nie trafiają do AI. Zdecydowanie odradzamy uruchamianie go na produkcji — może zepsuć lub zniszczyć system.
Czy przechowujecie moje dane dostępowe?+
Dane dostępowe są szyfrowane algorytmem AES-256-GCM w spoczynku i odszyfrowywane wyłącznie w pamięci podczas skanu. Nigdy nie trafiają do logów ani nie są pokazywane jawnie.
Co właściwie oznacza „passed” na certyfikacie?+
Że API przeszło automatyczne testy OWASP API Top 10 w testowanym zakresie w konkretnym dniu. Nigdy nie twierdzimy, że zapewniamy absolutne bezpieczeństwo — treść certyfikatu jest celowo precyzyjna.
Jak weryfikujecie, że jestem właścicielem API?+
Potwierdzasz własność rekordem DNS TXT (lub ręcznym potwierdzeniem w niższych planach). Każda autoryzacja jest zapisywana z datą i zakresem.
Jak liczone są endpointy?+
Endpoint to unikalna metoda HTTP + ścieżka w projekcie (np. GET /users). Endpointy sumują się we wszystkich projektach; środowiska współdzielą tę samą specyfikację, więc nie mnożą licznika. Panel pokazuje bieżące zużycie (X / Y endpointów), więc zawsze wiesz, na czym stoisz.
Czy wszystkie plany obejmują CI/CD i pełny pakiet OWASP?+
Każdy plan obejmuje pakiet OWASP API Top 10 baseline i pełny pakiet deep scan. Plan Dev jest tylko CLI dla developerów (bez certyfikatu online i skanów z harmonogramu). Live dodaje ciągły monitoring online i publiczną Trust Page, ale bez CLI/CI-CD. SaaS daje jedno i drugie — CLI/CI-CD oraz certyfikat — a do tego mapowanie zgodności. Hacker mode (AI) zaczyna się od SaaS; Ask mode (kwestionariusz kodu) również od SaaS. Dodatki Enterprise (raport SOC 2, SSO, priorytetowa kolejka, SLA) są w Enterprise.
Czym to się różni od manualnego pentestu?+
Manualny pentest to zdjęcie w czasie: 15 tys. USD+, 2–4 tygodnie oczekiwania, nieaktualny przy następnym wdrożeniu. My uruchamiamy te same klasy ataków OWASP stale — przy każdym wdrożeniu, każdej nocy — za mniej niż jedną dziesiątą ceny. Używaj nas, żeby być czystym przez cały rok, a ludzi zapraszaj raz w roku do rzeczy egzotycznych.
Czy to zepsuje moją produkcję?+
Nie. Standardowe skany to odczyty z wyważonym tempem, twardymi limitami czasu i żądań oraz izolowanym sandboxem — nie mogą modyfikować danych. Destrukcyjny jest tylko Hacker mode (AI), dlatego jest całkowicie zablokowany na produkcji i działa wyłącznie na dev/staging.
Co się dzieje, gdy o 3:00 znajdziecie coś krytycznego?+
Dostajesz alert w kilka sekund — e-mail, Slack lub webhook, według wyboru — ze znaleziskiem, dowodem i poprawką. Znaleziska krytyczne i wysokie mogą też zablokować wdrożenie przez endpoint werdyktu CI, więc podatność nigdy nie trafia na produkcję.
Czy mogę zmienić plan w każdej chwili?+
Tak. Upgrade działa natychmiast, downgrade w następnym cyklu rozliczeniowym, a Ty zachowujesz wszystkie dotychczasowe skany i certyfikaty. Płatne plany mają 14-dniową gwarancję zwrotu.
Twój pierwszy pentest jest bezpłatny
Bez karty kredytowej. Bez rozmowy sprzedażowej. Wyniki w ~2 minuty — potem decyduj na podstawie dowodów, nie obietnic.
Zeskanuj moje API za darmo →