Yazılımınızın güvenlik açıklarını, düzeltme adımlarıyla birlikte raporluyoruz.
Siper, web sitenizi, Android uygulamanızı ve Windows yazılımınızı zarar vermeyen otomatik kontrollerden geçirir. Bulduğu her sorunu neden önemli olduğu, kanıtı ve nasıl giderileceğiyle birlikte sade Türkçe yazar.
İlk rapor ücretsizdir. Talebinizi bir uzman inceler; yalnızca sahibi olduğunuzu doğruladığınız adresleri tararız.
| Önem | Bulgu | Ref. |
|---|---|---|
| Yüksek | jQuery 1.12.4 kullanılıyor; CVE-2020-11023 aktif olarak istismar ediliyor (CISA KEV) | CWE-79 |
| Yüksek | Sürüm deposu dışarıdan okunabiliyor: /.git/HEAD yanıt veriyor | CWE-538 |
| Orta | TLS 1.0 hâlâ kabul ediliyor | CWE-327 |
| Orta | İçerik Güvenliği Politikası (CSP) tanımlı değil | CWE-693 |
| Düşük | Oturum çerezinde SameSite özniteliği yok | CWE-1275 |
| Bilgi | Sunucu sürümü yanıt başlığında görünüyor: nginx/1.18.0 | CWE-200 |
Örnek rapordan alıntı. Her bulgunun altında açıklama, kanıt ve düzeltme adımları yer alır.
Neyi kontrol ediyoruz
Üç tür varlık, her biri için ayrı bir kontrol listesi. Ayrıntılı liste ve standart eşlemeleri Kapsam sayfasında.
Web siteleri
- TLS sürümleri, şifre takımları, sertifika zinciri ve süresi
- Güvenlik başlıkları: CSP, HSTS, X-Frame-Options ve diğerleri
- Çerez öznitelikleri: Secure, HttpOnly, SameSite
- Açıkta kalan dosyalar: .git, .env, yedek ve günlük dosyaları
- Kullanılan kütüphane ve sunucu sürümlerinin bilinen açıkları
- E-posta sahteciliğine karşı SPF, DMARC kayıtları
Android uygulamaları
- Manifest: izinler, dışa açık bileşenler, yedekleme ve hata ayıklama bayrakları
- Ağ güvenliği yapılandırması ve şifresiz trafik izni
- Koda gömülmüş API anahtarları, parolalar, gizli adresler
- İmza şeması ve sertifika bilgisi
- Zayıf şifreleme ve güvensiz rastgele sayı kullanımı
Windows yazılımları
- Dijital imza ve imzalayan sertifika
- Derleme korumaları: ASLR, DEP, CFG, SafeSEH
- Gömülü sırlar, bağlantı dizeleri, iç ağ adresleri
- Paketlenmiş bileşenler ve bilinen açıklı sürümler
- Şüpheli içe aktarımlar ve paketleyici izleri
Nasıl işler
Kayıttan rapora dört adım.
Üye olun, demo talep edin
Tek formda hesap açılır ve denetlenecek web adresini ya da APK/EXE dosyasını bildirirsiniz.
Talep onayı
Bir uzman talebi inceler: varlık gerçek mi, kapsam uygun mu. Genellikle aynı iş günü içinde.
Sahiplik doğrulama
Web sitesi için DNS TXT kaydı veya sitenize koyacağınız bir dosya. Dosya yüklemelerinde bu adım yoktur.
Rapor
Tarama tamamlanınca e-posta alırsınız. Rapor panelinizde; yazdırılabilir ve paylaşılabilir.
Raporda ne var
- Not ve puan
- A'dan F'ye bir not ve 100 üzerinden puan. Yönetime tek satırla durum anlatmak için.
- Yönetici özeti
- Kaç bulgu var, hangileri önce ele alınmalı; teknik olmayan bir dille.
- Bulgu ayrıntıları
- Her bulgu için açıklama, gözlenen kanıt, düzeltme adımları ve CWE/CVE kaynakları.
- Güncel tehdit bağlamı
- Bulunan bileşenler şu anda aktif olarak istismar edilen açıklar listesinde mi?
- Yöntem ve sınırlar
- Neyi kontrol ettik, neyi kontrol edemedik. Raporu denetçinize olduğu gibi verebilirsiniz.
Raporlar tarayıcıda okunur ve yazdırılabilir; yazdırma görünümü A4 düzenindedir, PDF olarak kaydedilebilir.
Otomatik denetim yapılandırma hatalarını ve bilinen açıkları bulur. İş mantığı ve yetkilendirme hatalarını bulamaz. Kritik sistemler için bunu açıkça yazıyor, insan eliyle sızma testi öneriyoruz.
Kimler için
- E-ticaret ve hizmet siteleri
- Ödeme sayfası, üye girişi ve kişisel veri toplayan, ayrı bir güvenlik ekibi olmayan işletmeler.
- Yazılım ve ajans ekipleri
- Müşteriye teslimden önce bağımsız bir kontrol ve teslim dosyasına eklenecek bir rapor isteyenler.
- Mobil uygulama yayıncıları
- Mağazaya yüklemeden önce APK içinde unutulmuş anahtar veya açık bileşen olup olmadığını görmek isteyenler.
- Kurumsal BT ve tedarik
- Satın alınan masaüstü yazılımı kurmadan önce imza, derleme korumaları ve gömülü bileşenleri kontrol etmek isteyenler.
Fiyat
Kredi ile çalışırsınız: web taraması 1, APK veya EXE analizi 2 kredi.
| Paket | Açıklama | Kredi | Kredi başına | Fiyat |
|---|---|---|---|---|
| Tekli | Bir varlık için tam rapor | 1 | ₺1.500 | ₺1.500 |
| Ekip | Beş tarama; aylık kontrol için | 5 | ₺1.200 | ₺6.000 |
| Kurum | Yirmi tarama; birden çok ürün ve sürüm | 20 | ₺1.000 | ₺20.000 |
İlk demo taraması ücretsizdir. Fiyat ayrıntıları
Sık sorulanlar
Taramanız sitemize zarar verir mi?
Hayır. Yalnızca okuma yapan, sıradan bir ziyaretçinin de gönderebileceği istekler kullanıyoruz: istismar denemesi, parola deneme, form doldurma, veri değiştirme ya da yük testi yok. Sunucu başına saniyede en fazla beş istek gönderiyoruz.
Başkasının sitesini tarayabilir miyim?
Hayır. Bir web sitesini taramadan önce sahibi olduğunuzu DNS kaydı veya sitenize koyacağınız küçük bir dosyayla kanıtlamanız gerekir. Doğrulanmamış adrese tek bir tarama isteği bile gönderilmez.
Otomatik tarama, sızma testinin yerini tutar mı?
Tutmaz. Otomatik kontroller yapılandırma hatalarını, eskimiş bileşenleri, açıkta kalan dosyaları ve bilinen açıkları güvenilir biçimde bulur. İş mantığı hataları, yetkilendirme açıkları (bir müşterinin başka müşterinin verisini görebilmesi gibi) ve zincirleme saldırılar ancak bir uzmanın elle yaptığı testte ortaya çıkar. Ödeme, sağlık verisi ya da kritik altyapı işleten sistemler için yılda en az bir kez insan eliyle sızma testi öneririz.
Yüklediğim APK veya EXE dosyası ne oluyor?
Dosya şifreli bağlantıyla alınır, rastgele bir adla saklanır ve yalnızca statik olarak incelenir; çalıştırılmaz. Dosyayı ve raporu hesabınızdan silebilirsiniz; saklama süreleri KVKK metninde yazılıdır.
İlk raporunuz ücretsiz.
Kayıt olun, denetlenecek adresi ya da dosyayı bildirin. Talebinizi genellikle aynı iş günü içinde inceleriz.