01
Внешняя конфигурация
TLS, заголовки, CORS, открытые конфигурации и debug-страницы. Безопасные чтения внутри вашего scope.
Внешний периметрБЕЗОПАСНОСТЬ В ВАШЕМ WORKFLOW
Безопасность продукта. Часть вашего релиза.
Подключите сайт и API. Проверяйте доступ, отслеживайте уязвимые зависимости и подтверждайте исправления — в одном рабочем процессе.
Без доступа к исходному коду·Только подтверждённые домены
Сайты и веб-приложенияAPI и SaaSМобильные приложения и ботыМагазины и маркетплейсыCRM и ERP
01 / ПОКРЫТИЕ
Каждая проверка. Понятный результат.
Вы видите, что проверено, что найдено и какие сценарии остались за пределами проверки.
02
Доступ к API
Проверки доступа между тестовыми аккаунтами, JWT и согласованные staging-сценарии по известным объектам.
По тестовым сценариям03
Уязвимые зависимости
10 экосистем: от npm и Python до Java, Go и .NET. Мониторинг по пакетам и точным версиям вашего проекта.
10 ecosystems / CycloneDXЧто проверяем и что нужно от вас
Покрытие зависит от профиля, согласованных сценариев и доступных данных. Завершённый запуск не гарантирует обнаружение всех уязвимостей.
Что проверяется автоматически
После подтверждения адреса и вашего разрешения запускаем внешние проверки: HTTPS/TLS, заголовки, CORS, утечки конфигурации, debug-страницы и проверенный набор Nuclei: 40 правил полного профиля, 9 короткого. В карточке адреса можно указать стек; неподходящие специализированные правила не отправляют запросы. Для исключения SPA используется контрольный неизвестный путь. Дополнительно обнаруживаем ссылки и поля форм: до 3 HTML-страниц в коротком запуске, до 10 в полном. Формы автоматически не отправляем. В полной проверке выполняем согласованные GET/HEAD с конкретными путями. Расписание нужно включить; мониторинг зависимостей работает после загрузки списка пакетов и включения функции.
Что предоставляет владелец
Адрес сайта/API, подтверждение владения файлом или DNS-записью и разрешение на проверку. Для API — OpenAPI или конкретные операции. Для контроля доступа — отдельные тестовые аккаунты, роли, известные тестовые объекты, уникальные маркеры и ожидаемый результат «разрешить/запретить». Для зависимостей — точные версии в package-lock npm, CycloneDX SBOM или ручном списке. Импорт схемы сам по себе не разрешает запросы и не доказывает проверку бизнес-логики.
Какие проверки требуют staging
SQLi, XSS, активные CVE-сценарии, изменение защищённых полей (Mass Assignment) и диагностика ограничения частоты — только в отдельной тестовой среде staging на Pro/Business, с разрешением на каждый сценарий. Для изменения данных нужен тестовый объект и возможность проверить его восстановление. Обычные внешние проверки и согласованные проверки чтения доступны на production. SQLi/XSS поддерживают query, POST-формы и выбранные вложенные JSON-поля. XSS можно подтвердить воспроизведением HTML-ответа в Chromium с исходным CSP, без внешних ресурсов. Автоматического перебора всех CVE нет.
Что означает частичное покрытие
Часть проверок выполнена, но по остальным нет достаточных данных: например, истекла сессия, не настроен сценарий, ответ заблокирован WAF, адрес недоступен или закончился бюджет. «Пропущено» означает, что проверка не выполнялась; «неопределённо» — что попытка не дала надёжного вывода; «неприменимо» — что проверка не подходит к ответу или технологии. Найденные проблемы остаются действительными. Отсутствие находок при неполном покрытии не означает, что проект безопасен. Исправьте указанную причину и повторите проверку; смотрите покрытие каждого сценария, а не только общий статус.
Какая авторизация поддерживается
Bearer token, API key в заголовке, Cookie и JSON login с получением токена и настроенным refresh. Укажите путь проверки сессии и нажмите «Проверить доступ». Для JWT доступны дополнительные параметры issuer/audience и доверенный JWKS. Секреты сохраняются зашифрованными и не возвращаются в интерфейс. Вход в сам Scantelio через GitHub OAuth — отдельная функция. Браузерный вход с CAPTCHA/MFA и автоматический обход приложения не поддерживаются.
Какие уведомления доступны
Колокольчик в кабинете: просмотр, прочтение и архив. Внешние уведомления — только личные сообщения Telegram-бота после привязки и при доступности в тарифе. Можно настроить категории: важные находки, итоги проверок, уязвимые зависимости, информационные и маркетинговые сообщения. Уведомления о зависимостях относятся только к пакетам и затронутым версиям вашего проекта; неизвестная версия не становится подтверждённой Telegram-тревогой. Email-уведомлений нет. Администратор может отправлять сообщения выбранным клиентам или всей согласованной аудитории.
02 / ПРОЦЕСС
От подключения до проверенного исправления.
Начните с внешней проверки. Расширяйте покрытие по мере подключения компонентов.
01
Создайте проект и подтвердите домен
02
Подтвердите область и запустите проверку
03
Изучите доказательства и проверьте исправление
03 / ТАРИФЫ
Начните с самого важного.
Автоматический контроль вашего продукта. Платные подписки скоро станут доступны.
Загружаем тарифы…
Подробные условия и единицы проверки
Продукт — одно самостоятельное приложение. Сайт, API и staging используют лимит адресов; независимые сайты — отдельные продукты. Тестовые аккаунты принадлежат проверяемому приложению, а участники команды — вашему кабинету Scantelio.
Один полный запуск проверяет одну среду. Production и staging — отдельные запуски. API-операция — метод и шаблон пути, а не один сетевой запрос.
Один параллельный запуск на продукт. Короткий контроль: до 100 запросов / 3 минут; повтор сценария: до 300 запросов / 10 минут. Это потолки, непроверенное отражается в отчёте.
Месячные квоты общие для рабочего пространства. Ежедневный короткий контроль — на каждый продукт, день UTC. При исчерпании квоты новых запусков и неожиданных списаний нет. Сопоставление зависимостей с базой уязвимостей не расходует полные проверки.
Автоматическая услуга не включает ручной пентест, настройку специалистом, исправление кода человеком или сертификацию безопасности. Доступы и тестовые данные предоставляет владелец.
Без лишних обещаний.
Отчёт без находок означает полную безопасность?+
Нет. Он означает, что проблемы не найдены в выполненных сценариях. Пропуски и неполные проверки остаются видимыми.
Можно проверить мобильное приложение?+
Можно подключить публичный backend и HTTP API. APK, IPA, бинарники и локальное хранилище не проверяются.
Scantelio блокирует атаки?+
Нет. Сервис выявляет поддерживаемые проблемы. Он не блокирует атаки, не исправляет код автоматически и не обнаруживает любой zero-day.