Перейти к содержимому
Регулярная проверка защищённости API

Автоматизированный
пентест API

Проверьте, защищён ли ваш сервис от утечек и штрафов

ZAP, Nuclei, Katana, Kiterunner + Semgrep, Trivy, Gitleaks — анализ API и кода в одном интерфейсе. Отчёт для аудита по 152-ФЗ, PCI DSS, 187-ФЗ. On-premise, ГОСТ TLS, данные на вашем периметре.

15 мин первый сканOWASP Top 10 покрытиеSelf-hosted данные у вас

Экспресс-проверка API

Бесплатно · 10 секунд · без регистрации

app.vahrest.ru/scans/a3f2…/graph
Target
api.acme-bank.ru
Risk 7214 находок152-ФЗ ready
ЦЕПОЧКА 1 — BOLA → УТЕЧКА ПДнЦЕПОЧКА 2 — SSRF → ВНУТРЕННИЙ REDIS⚡ AI нашёл связь между цепочками
MEDвход
GET /api/auth/login
Schemathesis
HIGHэскалация
JWT: слабый секрет
AuthTester
CRITэскалация
GET /users/{id} — BOLA
BOLA plugin
CRITimpact
утечка email + phone
AI Triage
HIGHвход
POST /api/webhooks
Nuclei
CRITэскалация
SSRF через param url
Nuclei
CRITimpact
Redis @ 10.0.0.5
AI Triage
Отчёт готов к аудиту:152-ФЗ187-ФЗPCI DSS 4.0ГОСТ 57580
  • AI-мозг · Цепочки атак
    LLM связывает отдельные находки в эксплуатируемый сценарий — не просто список CVE
  • Severity · OWASP API Top 10
    Каждая уязвимость маппится на CWE и категорию OWASP с автоматическим риск-скором
  • Cross-chain · Связь между цепочками
    LLM увидел, как утечка ПДн из первой цепочки даёт начало SSRF-эксплойту во второй

до 500 млн ₽

оборотный штраф за утечку ПДн

67%

кибератак в финсекторе — через API

15 мин

время первого скана

17 плагинов

покрытие OWASP API Top 10

Чеклист

Compliance 152-ФЗ, PCI DSS, 187-ФЗ: какие законы касаются вашего бизнеса?

Отметьте, что относится к вашей компании — мы покажем, какие требования нужно соблюдать и какие штрафы грозят.

Отметьте пункты выше, чтобы узнать, какие законы и стандарты касаются вашего бизнеса.

Зачем

Зачем бизнесу автоматизированный пентест API?

Автоматизированный пентест API нужен бизнесу по 3 причинам: требования регуляторов (152-ФЗ, 187-ФЗ, PCI DSS 4.0), оборотные штрафы до 500 млн руб. с 2025 года, экономия 60-80% по сравнению с ручным пентестом (1-5 млн руб. разово vs 100 тыс. руб./мес непрерывно).

Требования

Нужно обеспечивать меры защиты

Не просто «иметь документы», а показывать, что технические меры работают. Регулярный контроль, подтверждённые находки, артефакты для 152-ФЗ, 187-ФЗ, PCI DSS 4.0.

Штрафы

Штрафы стали оборотными

С 2025 года — 1–3% выручки (до 500 млн ₽). Утечка через уязвимый API, внеплановые проверки РКН, ФСТЭК, ЦБ — репутационные потери и отток 5–15%.

Экономика

Ручной пентест — дорого

Разовый пентест стоит 1–5 млн ₽ и актуален 2–4 недели. VAHREST — непрерывный контроль, экономия 60–80%, нет зависимости от конкретного AppSec.

Что проверяем

Какие уязвимости OWASP API Top 10 находит VAHREST?

VAHREST находит все 10 категорий уязвимостей OWASP API Top 10: BOLA, Broken Authentication, Excessive Data Exposure, Rate Limiting, BFLA, Mass Assignment, SSRF, Security Misconfiguration, Improper Assets Management, Insufficient Logging. 70% из них — проблемы логики, а не кода.

152-ФЗ

Защита от доступа к чужим данным

Проверяем, что один пользователь не может получить данные другого через API.

152-ФЗ

Защита от перебора паролей

Проверяем токены, сессии, JWT и защиту от brute-force атак.

PCI DSS

Защита от инъекций

SQL-инъекции, подделка запросов, XSS — в REST и GraphQL.

187-ФЗ

Утечки через настройки

Открытые панели управления, отладочные эндпоинты, утечки конфигурации.

PCI DSS

Обнаружение теневых API

Находим незадокументированные маршруты, о которых вы не знали.

Все

Подтверждение с доказательствами

Каждая находка подтверждена запросом/ответом и приоритизирована по риску.

Процесс

Как работает автоматизированный пентест API?

VAHREST работает в 5 шагов: определение scope, инвентаризация API (Kiterunner, Katana), DAST/fuzzing + SAST/SCA (17 плагинов), экспертная валидация, отчёт с бесплатным ретестом. Первый скан — 15 минут. Режимы: Black Box (только URL), Grey Box (URL + токены), White Box (полный доступ).

1

Введите URL вашего API

Укажите адрес — больше ничего не нужно для старта

2

VAHREST проверяет автоматически

17 плагинов, OWASP Top 10, DAST и fuzzing за 15 минут

3

Получите отчёт для аудита

Маппинг на 152-ФЗ, PCI DSS, 187-ФЗ — готов для регуляторов

Режимы

Black / Grey / White Box

  • BBlack: только URL — внешняя атака
  • GGrey: URL + токены/OpenAPI — глубже
  • WWhite: внутренние данные — максимум покрытия
Пайплайн

5 шагов до отчёта

  1. 1scope и окно тестов
  2. 2инвентаризация API
  3. 3DAST/fuzzing + SAST/SCA
  4. 4экспертная валидация
  5. 5отчёт + ретест

Первый скан — 15 минут.

«Пентест — фотография. VAHREST — видеонаблюдение. Через неделю после пентеста 15 новых эндпоинтов — и отчёт за 3 млн стал макулатурой.»

— Аргумент в пользу непрерывного тестирования

Архитектура

Внутри — адаптивный пайплайн с AI-мозгом

Стандартные сканеры запускают инструменты по списку. VAHREST добавляет LLM между фазами — он принимает решения на основе того, что уже найдено, группирует находки в цепочки атак и фильтрует ложные срабатывания по коду.

Обычный сканер

Статичный pipeline

Запускает список инструментов в заданном порядке. Результаты собирает в отчёт как есть.

  • RECON → SAST → DAST — один и тот же список для всех проектов
  • Плагины работают в изоляции: SQLi и SSRF не связываются в одну цепочку
  • CVSS из базы без учёта контекста: XSS на /health = XSS на /payment
  • 50 находок → 50 тикетов, 75% false positives — разработчики тонут в шуме
  • Отчёт = Excel с CVE-номерами, CEO не понимает что приоритизировать
VAHREST

Адаптивный pipeline + LLM Brain

15+ AI-модулей между фазами принимают решения на основе того, что уже найдено.

  • RECON → 🧠 выбирает tools → SAST → 🧠 решает re-scan → DAST → 🧠 группирует в chains
  • Находки связываются: SSRF + внутренний API без auth = полный compromise БД
  • Severity по контексту: XSS на /health → LOW, XSS в /payment → HIGH
  • FP Triager читает 20 строк кода вокруг Semgrep-находки — confidence + готовый fix
  • Executive summary на языке бизнеса: «SQLi = 18M₽ штраф по PCI DSS»

6 модулей AI-мозга в действии

Каждый модуль работает на своей фазе скана и передаёт контекст следующим. Полный список из 15+ модулей — в документации.

OSINT Interpreter

RECON → пост

Анализирует 50+ хостов из разведки, находит high-risk targets (staging, CI/CD, админки), приоритизирует порядок сканирования.

Пример: Детект staging-сервера с debug-эндпоинтами → поднять приоритет, запустить дополнительный auth-tester.

Chain Analyzer

POST SCAN

Группирует все находки в многошаговые цепочки атак. Связывает SSRF + внутренний API + утекший токен в одну критичную цепочку.

Пример: SSRF на /api/proxy + RabbitMQ без auth → полный compromise очередей. Обе находки поднимаются до CRITICAL.

Severity Reassessor

ENRICH

Переоценивает severity с учётом business context. CVSS не знает что ваш /health endpoint публичный и не содержит PII.

Пример: XSS на /health → downgrade до LOW (нет sensitive данных). XSS в /account/settings → upgrade до HIGH.

FP Triager

SAST → пост

Читает 20 строк кода вокруг каждой SAST-находки. Определяет реальная уязвимость или false positive с confidence и готовым fix.

Пример: Semgrep: "SQLi в line 45". LLM читает код: параметризованный запрос, FP с confidence 0.95. Фильтруется из отчёта.

Tool Selector

ACTIVE_SCAN → старт

После RECON решает какие инструменты запускать. GraphQL → graphql_cop. Только REST → пропустить WAF-тесты.

Пример: Детект OpenAPI-спеки → запустить Schemathesis первым. Экономия ~20% времени скана на API-only targets.

Executive Summary

REPORT

Генерирует C-level отчёт: топ-3 риска на языке бизнеса (деньги, штрафы, PCI fines), приоритеты remediation.

Пример: «SQLi в checkout = 18M₽ штраф по PCI DSS 4.0. Fix: 4 часа разработчика». CEO одобряет бюджет быстрее.

Уровни интеллекта

Глубина LLM-анализа настраивается при создании скана. Базовая работает на всех планах, Ultra доступна с Business.

УровеньЦена за сканГлубина анализаАктивные модули
Low0 токеновБез LLMТолько статичные инструменты (nuclei, semgrep, sqlmap и т.д.)
Medium120 токенов · ~$0.30БазоваяFP Triager + Severity Reassessor + Finding Enricher (RU-переводы)
High500 токенов · ~$1.25Расширенная+ OSINT Interpreter + Chain Analyzer + Tool Selector + WAF Analyzer + Rescan Advisor
Ultra3 200 токенов · ~$8.00МаксимальнаяВсе модули с максимальным уровнем reasoning (доступно на Business+ плане)

Попробуйте адаптивный скан бесплатно

Базовый LLM-анализ доступен на всех планах. Начните с FREE — 500 токенов в месяц, достаточно для первого скана с AI-рекомендациями.

Результат

Что вы получите после пентеста API?

Артефакты «для бизнеса» и «для технарей».

Руководство

Отчёт для руководства

Риски в понятных терминах, приоритеты, сумма штрафа.

Разработка

Технический отчёт

Карточки уязвимостей: запрос/ответ, как исправить. CI/CD feedback.

Аудит

Заключение и маппинг

Маппинг на 152-ФЗ, 187-ФЗ, PCI DSS 4.0.

Экономика

Сколько стоит бездействие vs автоматический пентест API?

Пример для enterprise с 500 API.

Без VAHREST

Ручной пентест + штатные AppSec

  • 4 пентеста/год × 3 млн = 12 млн ₽, покрытие 20–40%
  • Штат AppSec (3 чел.) = 15–18 млн ₽/год
  • Покрытие неполное, зависимость от людей
  • Security review 3–5 дней/релиз
С VAHREST

Непрерывное автоматическое тестирование

  • Подписка: 1,2–3,6 млн ₽/год
  • Покрытие: 100% API, непрерывно
  • Автоскан в CI/CD за 15–30 мин
  • Платформа работает, даже если AppSec уволился
Источник ценностиГодовая ценностьСтоимость VAHRESTROI
Экономия vs ручной пентест8,4–32,4 млн ₽1,2–3,6 млн ₽600–900%
Предотвращение инцидента23–550 млн ₽1,2–3,6 млн ₽1 800–15 000%
Compliance5–12 млн ₽1,2–3,6 млн ₽300–900%
Ускорение delivery~38 млн ₽1,2–3,6 млн ₽1 000–3 000%
Штраф за утечку — до 500 млн ₽. Подписка VAHREST — от 100 тыс. ₽/мес. Закажите демо — рассчитаем ROI на ваших данных.

Чем VAHREST отличается

Западные вендоры ушли. Ручной пентест не масштабируется.

vs Ручной пентестРазовый результат за 1–5 млн ₽. VAHREST — непрерывно за 1,2–3,6 млн ₽/год.
vs PT BlackBoxGeneric DAST. Не находит BOLA. Onboarding 2–4 месяца. VAHREST — за 15 минут.
vs Salt / TraceableУшли из РФ. VAHREST: on-premise, ГОСТ TLS, приоритизированные находки. Бесплатная миграция.
vs DIY (ZAP + скрипты)Нет интерфейса и отчётности. Уволился AppSec — знания ушли.
Отзывы

Нам доверяют

Компании из финтеха, e-commerce и SaaS уже используют VAHREST.

АК

Алексей К.

CISO, Финтех-платформа

«VAHREST нашёл BOLA-уязвимость в платёжном API, которую не обнаружили два предыдущих пентеста. Экономия — десятки миллионов рублей потенциальных штрафов по 152-ФЗ.»

МС

Мария С.

DevSecOps Lead, E-commerce маркетплейс

«Интегрировали в CI/CD за 15 минут. Теперь каждый релиз автоматически проходит проверку OWASP API Top 10. Команда разработки получает фидбек до продакшена.»

ДВ

Дмитрий В.

CTO, SaaS-платформа

«Отчёты с маппингом на 152-ФЗ и PCI DSS закрыли вопросы аудиторов за один день. Раньше на подготовку документов уходило 2–3 недели.»

FAQ

Частые вопросы о пентесте API

Ответы для бизнеса, ИБ и разработки.

Да. Мы работаем по согласованному scope и профилям нагрузки. Для критичных систем рекомендуем staging или окно тестов, а также лимиты запросов и исключения. По умолчанию используем безопасные профили, чтобы тестирование не влияло на доступность.
Мы выдаём отчёт и заключение о проведённой оценке защищённости, плюс расширенную отчётность с маппингом на требования. Формальные процедуры аттестации зависят от класса системы — при необходимости настраиваются под ваш контур как отдельный процесс. Но основа (артефакты) генерируется автоматически.
Практический минимум — после каждого релиза или по расписанию (еженедельно/ежемесячно) и обязательно ретестить исправления. С VAHREST это автоматизируется в CI/CD: скан запускается при каждом PR, результат — через 15–30 минут.
Разовый пентест стоит 1–5 млн ₽ и актуален 2–4 недели. VAHREST даёт непрерывное покрытие 100% API за 1,2–3,6 млн ₽/год — это экономия 60–80% с историей прогресса и ретестом исправлений. 4 пентеста в год (8–20 млн) vs VAHREST — разница очевидна.
Да. В режиме Black Box достаточно URL. Kiterunner и Katana автоматически найдут эндпоинты и shadow API. Спецификация повышает покрытие и точность в Grey/White режимах — если её нет, поможем построить инвентарь.
Да, нативно. REST, GraphQL, gRPC — все протоколы тестируются в рамках единого скана с единым отчётом.
Нет. VAHREST — self-hosted платформа, разворачивается на вашей инфраструктуре. Данные не покидают контур. Поддержка ГОСТ TLS для КИИ и госсектора.

Проверьте свой API прямо сейчас

Введите URL — мы бесплатно проверим заголовки безопасности, найдём эндпоинты и покажем потенциальные проблемы за 10 секунд.

Хотите понять, насколько защищён ваш API?

Рассчитаем ROI, покажем результат скана за 15 минут, подготовим отчёт.