БЕЗОПАСНОСТЬ В ВАШЕМ WORKFLOW

Безопасность продукта. Часть вашего релиза.

Подключите сайт и API. Проверяйте доступ, отслеживайте уязвимые зависимости и подтверждайте исправления — в одном рабочем процессе.

Проверить проект Посмотреть пример отчёта

Без доступа к исходному коду·Только подтверждённые домены

Сайты и веб-приложенияAPI и SaaSМобильные приложения и ботыМагазины и маркетплейсыCRM и ERP

01 / ПОКРЫТИЕ

Каждая проверка. Понятный результат.

Вы видите, что проверено, что найдено и какие сценарии остались за пределами проверки.

Внешняя конфигурация

TLS, заголовки, CORS, открытые конфигурации и debug-страницы. Безопасные чтения внутри вашего scope.

Внешний периметр

Доступ к API

Проверки доступа между тестовыми аккаунтами, JWT и согласованные staging-сценарии по известным объектам.

По тестовым сценариям

Уязвимые зависимости

10 экосистем: от npm и Python до Java, Go и .NET. Мониторинг по пакетам и точным версиям вашего проекта.

10 ecosystems / CycloneDX

Что проверяем и что нужно от вас

Покрытие зависит от профиля, согласованных сценариев и доступных данных. Завершённый запуск не гарантирует обнаружение всех уязвимостей.

Что проверяется автоматически

После подтверждения адреса и вашего разрешения запускаем внешние проверки: HTTPS/TLS, заголовки, CORS, утечки конфигурации, debug-страницы и проверенный набор Nuclei: 40 правил полного профиля, 9 короткого. В карточке адреса можно указать стек; неподходящие специализированные правила не отправляют запросы. Для исключения SPA используется контрольный неизвестный путь. Дополнительно обнаруживаем ссылки и поля форм: до 3 HTML-страниц в коротком запуске, до 10 в полном. Формы автоматически не отправляем. В полной проверке выполняем согласованные GET/HEAD с конкретными путями. Расписание нужно включить; мониторинг зависимостей работает после загрузки списка пакетов и включения функции.

Что предоставляет владелец

Адрес сайта/API, подтверждение владения файлом или DNS-записью и разрешение на проверку. Для API — OpenAPI или конкретные операции. Для контроля доступа — отдельные тестовые аккаунты, роли, известные тестовые объекты, уникальные маркеры и ожидаемый результат «разрешить/запретить». Для зависимостей — точные версии в package-lock npm, CycloneDX SBOM или ручном списке. Импорт схемы сам по себе не разрешает запросы и не доказывает проверку бизнес-логики.

Какие проверки требуют staging

SQLi, XSS, активные CVE-сценарии, изменение защищённых полей (Mass Assignment) и диагностика ограничения частоты — только в отдельной тестовой среде staging на Pro/Business, с разрешением на каждый сценарий. Для изменения данных нужен тестовый объект и возможность проверить его восстановление. Обычные внешние проверки и согласованные проверки чтения доступны на production. SQLi/XSS поддерживают query, POST-формы и выбранные вложенные JSON-поля. XSS можно подтвердить воспроизведением HTML-ответа в Chromium с исходным CSP, без внешних ресурсов. Автоматического перебора всех CVE нет.

Что означает частичное покрытие

Часть проверок выполнена, но по остальным нет достаточных данных: например, истекла сессия, не настроен сценарий, ответ заблокирован WAF, адрес недоступен или закончился бюджет. «Пропущено» означает, что проверка не выполнялась; «неопределённо» — что попытка не дала надёжного вывода; «неприменимо» — что проверка не подходит к ответу или технологии. Найденные проблемы остаются действительными. Отсутствие находок при неполном покрытии не означает, что проект безопасен. Исправьте указанную причину и повторите проверку; смотрите покрытие каждого сценария, а не только общий статус.

Какая авторизация поддерживается

Bearer token, API key в заголовке, Cookie и JSON login с получением токена и настроенным refresh. Укажите путь проверки сессии и нажмите «Проверить доступ». Для JWT доступны дополнительные параметры issuer/audience и доверенный JWKS. Секреты сохраняются зашифрованными и не возвращаются в интерфейс. Вход в сам Scantelio через GitHub OAuth — отдельная функция. Браузерный вход с CAPTCHA/MFA и автоматический обход приложения не поддерживаются.

Какие уведомления доступны

Колокольчик в кабинете: просмотр, прочтение и архив. Внешние уведомления — только личные сообщения Telegram-бота после привязки и при доступности в тарифе. Можно настроить категории: важные находки, итоги проверок, уязвимые зависимости, информационные и маркетинговые сообщения. Уведомления о зависимостях относятся только к пакетам и затронутым версиям вашего проекта; неизвестная версия не становится подтверждённой Telegram-тревогой. Email-уведомлений нет. Администратор может отправлять сообщения выбранным клиентам или всей согласованной аудитории.

02 / ПРОЦЕСС

От подключения до проверенного исправления.

Начните с внешней проверки. Расширяйте покрытие по мере подключения компонентов.

Создайте проект и подтвердите домен

Подтвердите область и запустите проверку

Изучите доказательства и проверьте исправление

03 / ТАРИФЫ

Начните с самого важного.

Автоматический контроль вашего продукта. Платные подписки скоро станут доступны.

Загружаем тарифы…

Подробные условия и единицы проверки

Продукт — одно самостоятельное приложение. Сайт, API и staging используют лимит адресов; независимые сайты — отдельные продукты. Тестовые аккаунты принадлежат проверяемому приложению, а участники команды — вашему кабинету Scantelio.

Один полный запуск проверяет одну среду. Production и staging — отдельные запуски. API-операция — метод и шаблон пути, а не один сетевой запрос.

Один параллельный запуск на продукт. Короткий контроль: до 100 запросов / 3 минут; повтор сценария: до 300 запросов / 10 минут. Это потолки, непроверенное отражается в отчёте.

Месячные квоты общие для рабочего пространства. Ежедневный короткий контроль — на каждый продукт, день UTC. При исчерпании квоты новых запусков и неожиданных списаний нет. Сопоставление зависимостей с базой уязвимостей не расходует полные проверки.

Автоматическая услуга не включает ручной пентест, настройку специалистом, исправление кода человеком или сертификацию безопасности. Доступы и тестовые данные предоставляет владелец.

Без лишних обещаний.

Отчёт без находок означает полную безопасность?+

Нет. Он означает, что проблемы не найдены в выполненных сценариях. Пропуски и неполные проверки остаются видимыми.

Можно проверить мобильное приложение?+

Можно подключить публичный backend и HTTP API. APK, IPA, бинарники и локальное хранилище не проверяются.

Scantelio блокирует атаки?+

Нет. Сервис выявляет поддерживаемые проблемы. Он не блокирует атаки, не исправляет код автоматически и не обнаруживает любой zero-day.