Аудит кода и безопасности

Что мы проверяем

• Аутентификацию и контроль доступа — вход, сессии, роли и то, может ли один пользователь увидеть данные другого.
• Обработку входных данных — инъекции, небезопасную загрузку файлов, подделку серверных запросов (SSRF) и другую классику.
• Секреты и конфигурацию — ключи в репозитории, аккаунты с избыточными правами, отладочные настройки, забытые в продакшене.
• Зависимости — устаревшие и уязвимые пакеты и то, насколько сложно будет их обновить.
• Платежи и денежную логику — округление, валюты, вебхуки и то, что происходит, если запрос отправлен дважды.
• Состояние кода — покрытие тестами критичных сценариев, деплой, обработку ошибок и участки, которые никто не решается трогать.
• Смарт-контракты — контроль доступа, reentrancy, арифметику, обновляемость и админские ключи в сетях EVM и Solana.

Как это устроено

1. Доступ и контекст

Вы даёте нам доступ на чтение к коду и, если нужно, к инфраструктуре. Мы спрашиваем, что делает система, какие данные в ней хранятся и что вас беспокоит.

2. Проверка

Мы читаем код вручную, дополняя это автоматическими сканерами, и прослеживаем самые важные сценарии: деньги, персональные данные и действия администраторов.

3. Отчёт

Вы получаете письменный отчёт: по каждой находке — критичность, где она находится, чем опасна и как её исправить. Самые опасные проблемы — в начале списка.

4. Исправление, если нужно

Находки может исправить ваша команда — или мы, добавив тесты, чтобы проблемы не вернулись. Короткая повторная проверка подтверждает результат.

Вам подойдёт, если вы…

• готовитесь к запуску, привлечению инвестиций или контракту с крупным клиентом, который спросит о безопасности;
• получили в наследство кодовую базу и хотите понять, с чем имеете дело;
• выпускаете смарт-контракт, в котором будут храниться чужие средства.