Cennik, który na siebie zarabia

To najtańszy plan z pełną ścieżką CI/CD, publicznym certyfikatem, mapowaniem zgodności i 1 projektem — czyli wszystkim, czego zespół SaaS potrzebuje do przejścia procurementu w enterprise. Większość zespołów wybiera SaaS po darmowym skanie w planie Dev.

Plan Dev jest darmowy bezterminowo i uruchamia pełny pakiet OWASP baseline przez CLI, więc możesz ocenić produkt bez ryzyka. Przejdź na Live, aby dostać monitoring online i certyfikat, albo na SaaS, aby mieć pełne CI/CD, tryb hacker, ask mode i eksporty zgodności.

Tak. Skaner działa w sandboxie z rygorystycznym tempem, timeoutami i limitami żądań. Harmonogram wybierasz sam i możesz w każdej chwili wstrzymać testy.

Tak — automatyczny test penetracyjny API. Uruchamiamy symulacje ataków z OWASP API Top 10 (BOLA/IDOR, złamana autoryzacja, injection, mass assignment, rate limiting, CORS, nagłówki bezpieczeństwa, shadow API) oraz testy deep scan (słabości JWT, podmiana metod HTTP, eskalacja uprawnień przez mass assignment, fingerprint technologii z wersjami EOL) na żądanie lub według harmonogramu, jak automatyczny pentester. Uzupełnia manualny pentest prowadzony przez człowieka, a nie zastępuje go.

Tak. Dodaj API lub wklej specyfikację OpenAPI i kliknij „Uruchom żywy pentest” — sandbox zaczyna testować od razu, a Ty widzisz przebieg w terminalu. Ten sam test jest dostępny z CLI (liveapisec scan) dla CI/CD.

To autonomiczny agent AI, który przeprowadza prawdziwy test penetracyjny w stylu człowieka na Twoim API (tylko dev/staging, nigdy produkcja): planuje atak, krok po kroku sonduje endpointy — próbując IDOR, złamanej autoryzacji, injection, sekretów i mass assignment — obserwuje odpowiedzi, koryguje się i pisze końcową ocenę z poprawkami. Potrafi nawet napisać i uruchomić własny kod sondujący w sandboxie. Działa ręcznie na żądanie, wymaga zweryfikowanej domeny dla publicznych celów (localhost / prywatne IP są zwolnione), a Twój URL i dane dostępowe nigdy nie trafiają do AI. Zdecydowanie odradzamy uruchamianie go na produkcji — może zepsuć lub zniszczyć system.

Dane dostępowe są szyfrowane algorytmem AES-256-GCM w spoczynku i odszyfrowywane wyłącznie w pamięci podczas skanu. Nigdy nie trafiają do logów ani nie są pokazywane jawnie.

Że API przeszło automatyczne testy OWASP API Top 10 w testowanym zakresie w konkretnym dniu. Nigdy nie twierdzimy, że zapewniamy absolutne bezpieczeństwo — treść certyfikatu jest celowo precyzyjna.

Potwierdzasz własność rekordem DNS TXT (lub ręcznym potwierdzeniem w niższych planach). Każda autoryzacja jest zapisywana z datą i zakresem.

Endpoint to unikalna metoda HTTP + ścieżka w projekcie (np. GET /users). Endpointy sumują się we wszystkich projektach; środowiska współdzielą tę samą specyfikację, więc nie mnożą licznika. Panel pokazuje bieżące zużycie (X / Y endpointów), więc zawsze wiesz, na czym stoisz.

Każdy plan obejmuje pakiet OWASP API Top 10 baseline i pełny pakiet deep scan. Plan Dev jest tylko CLI dla developerów (bez certyfikatu online i skanów z harmonogramu). Live dodaje ciągły monitoring online i publiczną Trust Page, ale bez CLI/CI-CD. SaaS daje jedno i drugie — CLI/CI-CD oraz certyfikat — a do tego mapowanie zgodności. Hacker mode (AI) zaczyna się od SaaS; Ask mode (kwestionariusz kodu) również od SaaS. Dodatki Enterprise (raport SOC 2, SSO, priorytetowa kolejka, SLA) są w Enterprise.

Manualny pentest to zdjęcie w czasie: 15 tys. USD+, 2–4 tygodnie oczekiwania, nieaktualny przy następnym wdrożeniu. My uruchamiamy te same klasy ataków OWASP stale — przy każdym wdrożeniu, każdej nocy — za mniej niż jedną dziesiątą ceny. Używaj nas, żeby być czystym przez cały rok, a ludzi zapraszaj raz w roku do rzeczy egzotycznych.

Nie. Standardowe skany to odczyty z wyważonym tempem, twardymi limitami czasu i żądań oraz izolowanym sandboxem — nie mogą modyfikować danych. Destrukcyjny jest tylko Hacker mode (AI), dlatego jest całkowicie zablokowany na produkcji i działa wyłącznie na dev/staging.

Dostajesz alert w kilka sekund — e-mail, Slack lub webhook, według wyboru — ze znaleziskiem, dowodem i poprawką. Znaleziska krytyczne i wysokie mogą też zablokować wdrożenie przez endpoint werdyktu CI, więc podatność nigdy nie trafia na produkcję.

Tak. Upgrade działa natychmiast, downgrade w następnym cyklu rozliczeniowym, a Ty zachowujesz wszystkie dotychczasowe skany i certyfikaty. Płatne plany mają 14-dniową gwarancję zwrotu.