01
Адрес и разрешение
Добавьте сайт или API, подтвердите контроль над адресом через DNS либо файл и разрешите тестирование.
ПРОВЕРКИ БЕЗОПАСНОСТИ В ОДНОМ КАБИНЕТЕ
Найдите слабые места сайта и API. До следующего релиза.
Добавьте адрес, подтвердите владение и выберите проверки в кабинете. Scantelio проверит конфигурацию, доступ пользователей и зависимости — с доказательствами, рекомендациями и повторной проверкой исправлений.
Можно начать на Free·Репозиторий не загружается в Scantelio
Сайты и веб-приложенияAPI и SaaSBackend приложений и ботовМагазины и маркетплейсыCRM и ERP
01 / ПОДКЛЮЧЕНИЕ ЧЕРЕЗ КАБИНЕТ
Начните с адреса. Добавляйте глубину по мере готовности.
Для первой внешней проверки не нужно подключать редактор или передавать исходный код. Для более глубоких сценариев сервис покажет, каких данных не хватает.
02
Настройки под ваш проект
Выберите окружение. При необходимости подключите OpenAPI, тестовые аккаунты, объекты и список зависимостей.
03
Запуск и понятный результат
Запустите доступную по тарифу проверку. Отчёт покажет находки, доказательства, рекомендации и ограничения покрытия.
02 / ПОКРЫТИЕ
Код работает. А что с безопасностью?
Вы видите, что проверено, что найдено и какие сценарии остались за пределами проверки.
01
Что видно снаружи
TLS, заголовки, CORS, открытые конфигурации и debug-страницы. Безопасные чтения внутри вашего scope.
Внешний периметр02
Кто видит чужие данные
Проверки доступа между тестовыми аккаунтами, JWT и согласованные staging-сценарии по известным объектам.
По тестовым сценариям03
Какие версии уязвимы
10 экосистем: от npm и Python до Java, Go и .NET. Мониторинг по пакетам и точным версиям вашего проекта.
10 ecosystems / CycloneDX03 / НЕ ПРОСТО СПИСОК ОШИБОК
Понятно, что найдено. Понятно, что делать.
У находки есть доказательство, контекст и рекомендация. Разберите проблему, внесите исправление и запустите повторную проверку конкретного сценария — без нового полного запуска.
Открыть пример полного отчётаВ отчёте отдельно видны выполненные, пропущенные и неприменимые проверки. Чистый результат — не обещание полной безопасности.
04 / ПОСЛЕ ПЕРВОЙ ПРОВЕРКИ
Релизы идут. Контроль остаётся.
Смысл не в одном отчёте. Подключите контроль релизов, зависимостей и повторных проблем в рамках выбранного тарифа.
Проверки в CI/CD
Получайте результат проверки релиза в вашем pipeline. Неполная проверка не выдаётся за успешную.
Релевантные уведомления в Telegram
Новые известные уязвимости — по зависимостям и затронутым версиям вашего проекта, а не по всему каталогу CVE.
Исправление нужно подтвердить
Повторяйте сценарий после изменения кода и отслеживайте результат. Расписание помогает сохранять регулярность проверок.
05 / ТАРИФЫ
Начните бесплатно. Расширяйте контроль.
Автоматический контроль вашего продукта. Платные подписки скоро станут доступны.
Каталог временно недоступен. Обновите страницу.
Подробные условия и единицы проверки
Продукт — одно самостоятельное приложение. Сайт, API и staging используют лимит адресов; независимые сайты — отдельные продукты. Тестовые аккаунты принадлежат проверяемому приложению, а участники команды — вашему кабинету Scantelio.
Один полный запуск проверяет одну среду. Production и staging — отдельные запуски. API-операция — метод и шаблон пути, а не один сетевой запрос.
Один параллельный запуск на продукт. Короткий контроль: до 100 запросов / 3 минут; повтор сценария: до 300 запросов / 10 минут. Это потолки, непроверенное отражается в отчёте.
Месячные квоты общие для рабочего пространства. Ежедневный короткий контроль — на каждый продукт, день UTC. При исчерпании квоты новых запусков и неожиданных списаний нет. Сопоставление зависимостей с базой уязвимостей не расходует полные проверки.
Автоматическая услуга не включает ручной пентест, настройку специалистом, исправление кода человеком или сертификацию безопасности. Доступы и тестовые данные предоставляет владелец.
До первой проверки — несколько ответов.
Что нужно для первой проверки?+
Публичный сайт или API, которым вы управляете. Добавьте адрес, подтвердите владение через DNS или проверочный файл и разрешите тестирование. Для внешней проверки не нужен исходный код или ИИ-редактор.
Что нужно для более глубоких проверок API?+
В зависимости от сценария: схема API, тестовые аккаунты с разными правами, известные тестовые объекты и ожидаемые правила доступа. Для активных изменяющих проверок нужны staging и отдельное согласие. Недостающие данные отражаются как ограничения покрытия.
Это ручной пентест?+
Нет. Вы настраиваете проект в кабинете, а Scantelio выполняет автоматические проверки. Работа пентестера и сертификация безопасности в подписку не входят.
Чистый отчёт гарантирует безопасность?+
Нет. Он означает, что проблемы не найдены в выполненных сценариях. Пропуски и неполные проверки остаются видимыми.
Можно подключить ИИ позже?+
Да. Подключите MCP-совместимый редактор к тому же проекту. Существующие права, лимиты тарифа и подтверждения сканирования продолжают действовать.
Подробно: данные для проверки, авторизация и частичное покрытие
Что проверяем и что нужно от вас
Покрытие зависит от профиля, согласованных сценариев и доступных данных. Завершённый запуск не гарантирует обнаружение всех уязвимостей.
Что проверяется автоматически
После подтверждения адреса и вашего разрешения запускаем внешние проверки: HTTPS/TLS, заголовки, CORS, утечки конфигурации, debug-страницы и проверенный набор Nuclei: 40 правил полного профиля, 9 короткого. В карточке адреса можно указать стек; неподходящие специализированные правила не отправляют запросы. Для исключения SPA используется контрольный неизвестный путь. Дополнительно обнаруживаем ссылки и поля форм: до 3 HTML-страниц в коротком запуске, до 10 в полном. Формы автоматически не отправляем. В полной проверке выполняем согласованные GET/HEAD с конкретными путями. Расписание нужно включить; мониторинг зависимостей работает после загрузки списка пакетов и включения функции.
Что предоставляет владелец
Адрес сайта/API, подтверждение владения файлом или DNS-записью и разрешение на проверку. Для API — OpenAPI или конкретные операции. Для контроля доступа — отдельные тестовые аккаунты, роли, известные тестовые объекты, уникальные маркеры и ожидаемый результат «разрешить/запретить». Для зависимостей — точные версии в package-lock npm, CycloneDX SBOM или ручном списке. Импорт схемы сам по себе не разрешает запросы и не доказывает проверку бизнес-логики.
Какие проверки требуют staging
SQLi, XSS, активные CVE-сценарии, изменение защищённых полей (Mass Assignment) и диагностика ограничения частоты — только в отдельной тестовой среде staging на Pro/Business, с разрешением на каждый сценарий. Для изменения данных нужен тестовый объект и возможность проверить его восстановление. Обычные внешние проверки и согласованные проверки чтения доступны на production. SQLi/XSS поддерживают query, POST-формы и выбранные вложенные JSON-поля. XSS можно подтвердить воспроизведением HTML-ответа в Chromium с исходным CSP, без внешних ресурсов. Автоматического перебора всех CVE нет.
Что означает частичное покрытие
Часть проверок выполнена, но по остальным нет достаточных данных: например, истекла сессия, не настроен сценарий, ответ заблокирован WAF, адрес недоступен или закончился бюджет. «Пропущено» означает, что проверка не выполнялась; «неопределённо» — что попытка не дала надёжного вывода; «неприменимо» — что проверка не подходит к ответу или технологии. Найденные проблемы остаются действительными. Отсутствие находок при неполном покрытии не означает, что проект безопасен. Исправьте указанную причину и повторите проверку; смотрите покрытие каждого сценария, а не только общий статус.
Какая авторизация поддерживается
Bearer token, API key в заголовке, Cookie и JSON login с получением токена и настроенным refresh. Укажите путь проверки сессии и нажмите «Проверить доступ». Для JWT доступны дополнительные параметры issuer/audience и доверенный JWKS. Секреты сохраняются зашифрованными и не возвращаются в интерфейс. Вход в сам Scantelio через GitHub OAuth — отдельная функция. Браузерный вход с CAPTCHA/MFA и автоматический обход приложения не поддерживаются.
Какие уведомления доступны
Колокольчик в кабинете: просмотр, прочтение и архив. Внешние уведомления — только личные сообщения Telegram-бота после привязки и при доступности в тарифе. Можно настроить категории: важные находки, итоги проверок, уязвимые зависимости, информационные и маркетинговые сообщения. Уведомления о зависимостях относятся только к пакетам и затронутым версиям вашего проекта; неизвестная версия не становится подтверждённой Telegram-тревогой. Email-уведомлений нет. Администратор может отправлять сообщения выбранным клиентам или всей согласованной аудитории.
СЛЕДУЮЩИЙ ШАГ
Дайте проекту первую проверку.
Добавьте сайт или API и начните с внешней проверки на Free. Подключайте более глубокие сценарии, когда готовы данные и доступен нужный тариф.
Добавить проект и начатьСначала посмотреть отчёт