Will testing impact our production environment?

No, and that's by design. Every engagement runs under signed Rules of Engagement that define exactly what we test, when, and how. High-risk actions on production — anything that could affect performance, data integrity, or real users — are coordinated with you in advance and only executed with your explicit approval. We've never taken down a client's production environment, and our process is built to keep it that way. If you'd prefer testing on staging, we'll work with what you have. We don't require a separate environment to deliver real findings — we adapt to yours.

Will your report pass our auditor and our Enterprise customer's security review?

Yes. Our testing is built on OWASP WSTG, PTES, and NIST SP 800-115 — the methodologies SOC 2 and ISO 27001 auditors expect to see. Each report includes an Executive Summary written for procurement and leadership, and a Technical Report with reproduction steps and remediation guidance for engineers. Our reports have been accepted by the security teams of global Enterprises — including some who hired us directly to test their own SaaS vendors. They will pass yours.

What if you don't find any vulnerabilities?

This is rare — in the engagements we've run on B2B SaaS, we've always found something worth reporting. But if we don't, you still get the full deliverables: a report confirming the depth of testing performed, the methodologies applied, and the components covered. That report is the same artifact your auditors and Enterprise customers need. A clean pentest from a senior team is also a meaningful result — and one that few products can actually claim.

How do you handle confidentiality, our data, and legal accountability?

Every engagement starts with a signed NDA and a contract with XRAY Cybersecurity — full corporate liability and legal accountability. Findings, exploitation evidence, and any data accessed during testing are stored encrypted, accessed only by the assigned engineers, and deleted from our systems after the engagement closes (with the exact retention period defined in your contract). We carry professional indemnity insurance, and our team operates under strict internal data handling policies. If something goes wrong, you have a company to hold accountable — with legal recourse, not a hope.

How much effort does this require from our team?

Less than most clients expect. The setup is concentrated in the first few days — provisioning access, sharing documentation, and walking through your architecture in a kickoff session. After that, your team's involvement is mostly answering occasional clarifying questions. The real time investment comes during remediation, when your engineers fix the findings. That's on your timeline, not ours — and we support them with direct technical guidance rather than adding more meetings.

Do we need to disable WAF, whitelist your traffic, or coordinate with our SOC and monitoring during testing?

We discuss all of this during the kickoff session and adapt to your setup. For most engagements, we recommend either whitelisting our IPs at the WAF level (so we test the application, not your perimeter) or testing the WAF behavior explicitly as part of scope — your choice. If you have a SOC or monitoring team, we coordinate notifications so our testing doesn't trigger an unnecessary incident response. We aim to minimize noise — but we don't disable any protections without your decision.

What if we need to pause or postpone the engagement?

It happens — release crunches, internal incidents, leadership changes. We've designed our process to accommodate this. Pauses are coordinated with your team, the engagement timeline shifts accordingly, and there's no penalty for reasonable rescheduling within the engagement period.

Is retesting included? How long do we have to fix the findings before we lose the chance to retest?

Retesting is included in every engagement — there's no separate charge. After your team remediates the findings, we re-test each one against the original exploitation to verify the fix actually holds, and issue an updated Technical Report and Security Certificate. The retest window is agreed up front and reflected in your engagement scope, so your team has the time it actually needs to remediate. We don't push, we don't drag, and we don't bill you again for work that should have been part of the original engagement.

Are there any hidden fees? What's actually included in the price?

The price you see in the proposal is the price you pay. It's fixed, written into the contract, and tied to the agreed scope. Full cycle from kickoff to final certificate is included — testing, all reports (Interim Urgent, Technical, Executive Summary, Retest), the debrief call, remediation support, retesting, and the Security Certificate. There are no hidden fees, no per-finding charges, no extra invoices for retests, reports, or follow-up calls. The only reason the price changes is if you decide to expand the scope mid-engagement — adding new components, new roles, or new applications. In that case, we estimate the additional effort and agree the change with you in writing, before any work begins. Nothing surprises you on the invoice.

Ручное тестирование приложений на проникновение для B2B SaaS

Пример: SQL-инъекция

Уровень 1 — Поверхностный

Найти и отметить

Типичный результат у сканеров, фрилансеров, bug bounty

Сканер обнаруживает SQL-инъекцию в URL-параметре. В отчёте — пометка «High». Ничего больше.

Уровень 2 — Стандарт

Подтвердить и зафиксировать

Типичный результат у большинства подрядчиков по пентесту

Тестировщик подтверждает инъекцию, извлекает несколько пользовательских записей как доказательство, фиксирует находку. На этом работа завершается.

Уровень 3 — Глубокий

Цепочка и реальный ущерб

Типичный результат у XRAY CyberSecurity

Находим SQLi, извлекаем пользовательские записи, сопоставляем с учётными данными из забытого бэкапа на соседнем субдомене, выделяем цели с максимальной ценностью, эксплуатируем дефект изоляции тенантов, собираем кастомный инструмент для получения административного доступа — и демонстрируем путь к компрометации данных вашего Enterprise-клиента.

Пример: Cross-Site Scripting

Уровень 1 — Поверхностный

Найти и отметить

Typical result for scanners, freelancers, bug bounty

Сканер находит reflected XSS в поле поиска. Помечен как «Medium». В списке.

Уровень 2 — Стандарт

Подтвердить и зафиксировать

Typical result for most pentest vendors

Тестировщик подтверждает XSS, демонстрирует popup как PoC с доступом к токену сессии, оформляет находку. Готово.

Уровень 3 — Глубокий

Цепочка и реальный ущерб

Typical result for XRAY CyberSecurity

Находим XSS, собираем PoC, эксфильтрующий токены сессий, доставляем его пользователям платформы, собираем токены, через дефект валидации ролей повышаем привилегии, тем же способом атакуем администраторов, крадём админские токены, перехватываем управление тенантом — и демонстрируем захват платформы, включая путь к компрометации Enterprise-клиентов.

Кастомные цепочки

У каждого SaaS своя цепочка атак

В вашей платформе она есть — возможно, не одна — встроенная в архитектуру, бизнес-логику и API.

Иногда цепочка приводит к полной компрометации. Иногда ваши защиты ломают её на середине — и мы фиксируем, где именно и почему.

В любом случае вы видите ровно то же, что видит атакующий.

Ручное тестирование приложений на проникновение для B2B SaaS

Знакомо?

Сделка с Enterprise-клиентом застряла на проверке безопасности.

В календаре аудит SOC 2 или ISO 27001.

Надеетесь, что следующий громкий инцидент будет не у вас.

Был инцидент.

Приближается следующий раунд или M&A.

Последний пентест выглядел как «галочка».

Цена бездействия

Что именно тестировать

Black-box

Grey-box

Классы уязвимостей, которые ищем

Поверхность приложения к покрытию

Что значит ручное на самом деле

Пример: SQL-инъекция

Найти и отметить

Подтвердить и зафиксировать

Цепочка и реальный ущерб

Пример: Cross-Site Scripting

Найти и отметить

Подтвердить и зафиксировать

Цепочка и реальный ущерб

Кастомные цепочки

У каждого SaaS своя цепочка атак

Не уверены, что включить в скоуп для вашего продукта? Подберём оптимальный вариант вместе.

Что вы получите

Хотите увидеть, как они выглядят на деле?

Срочный промежуточный отчёт

Технический отчёт

Краткий отчёт для руководства

Отчёт о повторном тестировании

Сертификат безопасности

Как мы достигаем ваших целей

Стандарты

Методологии, которым следуем

Требования compliance, которые мы закрываем

Принципы, на которых мы работаем

Ручной хакинг

Циклично, а не линейно

Бизнес-импакт, а не список багов

Только senior-инженеры

Качество важнее скорости

Не навредить

Применимые находки, ноль false-positive

Коммуникация инженер–инженер

Хакинг как ремесло

От вашего первого сообщения до финального сертификата

Первый разговор

Скоуп и коммерческое предложение

Kick-off

Разведка и моделирование угроз

Активная эксплуатация

Передача основного отчёта

Дебриф

Сопровождение устранения

Повторное тестирование и финальный сертификат

Признаны отраслью

Их собственными словами

Готовы тестировать ваше приложение?

Часто задаваемые вопросы

Давайте поговорим.