До приёмки. До запуска. После изменений.
Ваше приложение работает. А доступ к данным настроен правильно?
Проверьте безопасность приложения перед приёмкой у разработчика. Понятный результат для вас, техническая задача для разработчика и повторная проверка исправлений.
Для владельцев SaaS, CRM, магазинов и личных кабинетов.
Ранний доступ: заявка не запускает сканирование и не требует оплаты.
01 / Вопросы до приёмки
Работающий экран — ещё не проверка прав доступа
Может ли сотрудник выполнить действие администратора?
Проверяется ли доступ при скачивании и экспорте?
Не открыты ли служебные страницы и файлы?
02 / Проверки и условия
Что именно можно проверить
Внешняя конфигурация
HTTPS/TLS, доступные служебные endpoints и ошибки публикации в поддерживаемом профиле.
Нужно: Подтверждённый адрес и разрешение на проверку.
Изоляция пользователей
Доступ пользователя A к тестовым объектам пользователя B.
Нужно: Два тестовых аккаунта и объекты с известным владельцем.
Роли и организации
Доступ между организациями и операции, ограниченные ролью.
Нужно: Тестовые роли, организации и ожидаемые разрешения.
Документы и экспорт
Проверка доступа к подготовленным файлам, скачиванию и экспорту.
Нужно: Тестовые документы, ссылки и ожидаемые права.
Подтверждение исправления
Повтор выбранного сценария после изменений разработчика.
Нужно: Доступная среда, те же условия и лимит ретестов тарифа.
Одного адреса недостаточно для проверки приватных сценариев. Частичное покрытие означает, что часть проверок не выполнена — например, нет аккаунтов, среда недоступна или исчерпан бюджет. Причина должна оставаться видимой в отчёте.
03 / Процесс
От адреса приложения до проверенного исправления
Создайте проект
Укажите адрес приложения и подтвердите контроль через DNS или проверочный файл. Дайте разрешение на сканирование.
Подготовьте проверку с разработчиком
Согласуйте роли и тестовые объекты. Для активных изменяющих сценариев нужны staging и отдельное согласие.
Получите результат с границами покрытия
Читайте понятное объяснение риска, доказательства и перечень непроведённых проверок с причинами.
Передайте задачи и проверьте исправления
Передайте техническое описание разработчику. После исправлений повторите сценарий и сравните результат.
Что передать разработчику для подготовки
Отправьте этот список разработчику
Пароли не нужно пересылать вам. Настройку выполняет уполномоченный участник проекта.
Подготовьте staging и подтвердите право сканирования. Создайте отдельные тестовые аккаунты A и B, роли и две тестовые организации. Подготовьте синтетические документы каждого пользователя и таблицу: кто вправе читать, изменять и экспортировать каждый объект. Укажите поддерживаемые маршруты и способ авторизации в защищённых настройках проекта. Не пересылайте владельцу пароли, токены или реальные данные клиентов. Отдельно согласуйте активные изменяющие сценарии. После исправлений сохраните условия для ретеста.Совместная работа зависит от тарифа: Pro — один участник, Business — лимит из каталога. Инструкции для ИИ помогают с подготовкой, но не отменяют подтверждение контроля и согласие.
Инструкции для ИИ-помощника →04 / Пример отчёта
Понятно владельцу. Достаточно конкретно для разработчика.
Демонстрационный макет, не результат реального сканирования. Все пользователи, документы и доказательства вымышлены.
DEMO-001 · staging · release demo-v1 · 2026-11-04 12:00 UTC
Для владельца
Обнаружено: доступ к чужому документу.
Пользователь A смог скачать тестовый документ B. Если такой же сценарий доступен с реальными данными, приватные документы могут попасть не тем людям.
Задача: закрыть доступ, затем проверить запрет для A и сохранить законный доступ для B.
Для разработчика
GET /api/documents/demo-b/download
Identity: test-user-a
Expected: 403 or 404
Observed: 200 + synthetic document markerСверяйте владельца и организацию на сервере перед чтением файла. Не доверяйте documentId из запроса. Повторите отрицательный тест A → B и положительный B → B.
Статусы не должны скрывать ограничения
Обнаружено
Наблюдаемое нарушение в выполненном сценарии.
Не обнаружено в выполненном сценарии
Не означает безопасность всего приложения.
Не выполнено
Например: не предоставлен второй аккаунт.
Нужно уточнение
Не определено, кому разрешён доступ.
Исправлено и проверено
Ретест подтвердил запрет и законный доступ.
Сохраняется
Повторная проверка воспроизвела проблему.
Покрытие примера: только скачивание одного синтетического документа с двумя пользователями. Не проверены другие маршруты, роли, организации и production.
Полезно не только перед первым запуском
Перед запуском
Проверьте подготовленные сценарии до появления реальных клиентов.
При приёмке изменений
Повторите важные проверки после изменения ролей, API и документов.
Во время сопровождения
Используйте повторные запуски, ретесты и мониторинг зависимостей по тарифу.
05 / Тарифы
Выберите объём проверок и совместной работы
Актуальный каталог Scantelio. Business увеличивает лимиты и возможности команды, а не гарантирует обнаружение большего числа уязвимостей.
Каталог временно недоступен. Мы не показываем неподтверждённые цены — попробуйте обновить страницу или обратитесь в поддержку.
Месячные лимиты обновляются по календарному месяцу UTC; годовая оплата не увеличивает лимиты. Налоги и итоговая сумма отображаются при оформлении. Нулевой лимит означает, что возможность не включена. Доступность оплаты зависит от настройки платёжной системы.
Ответы перед началом
Я не технический специалист. Смогу пользоваться?
Да: начните с адреса и понятного отчёта. Для проверки приватных данных попросите разработчика подготовить тестовые аккаунты и ожидаемые права.
Достаточно одного URL?
Только для части внешнего профиля после подтверждения контроля. Для проверки доступа нужны тестовые пользователи, роли и объекты.
Оценит ли сервис качество подрядчика?
Нет. Мы проверяем свойства безопасности приложения в конкретных сценариях, а не качество работы или профессионализм подрядчика.
Можно проверить чужой сайт?
Только при наличии полномочий и разрешения владельца. Нужно подтвердить контроль над целью.
Может ли проверка изменить данные?
Активные сценарии могут выполнять тестовые изменения. Для них нужны staging, отдельное согласие и тестовые данные. Не используйте реальные клиентские данные.
Что получит разработчик?
Сценарий воспроизведения, очищенные доказательства, ожидаемые права, рекомендации и условия повторной проверки.
Ретесты без ограничений?
Нет. Количество и доступность зависят от тарифа; актуальные лимиты приведены ниже.
Нет находок — можно принимать проект?
Это не заключение о полной безопасности. Оцените, что действительно проверено, что пропущено и какие бизнес-требования ещё нужно подтвердить.
Вы выдаёте сертификат?
Нет. Scantelio не выдаёт сертификат безопасности и не заменяет полноценный пентест.
Следующий шаг
Принимайте решения с понятными доказательствами
Начните с подготовки проекта. После отчёта — задачи разработчику, исправления и ретест, а не обещание «всё безопасно».
Что-то не получается? Напишите нам — поможем с подключением. Поддержка →