Will testing impact our production environment?

No, and that's by design. Every engagement runs under signed Rules of Engagement that define exactly what we test, when, and how. High-risk actions on production — anything that could affect performance, data integrity, or real users — are coordinated with you in advance and only executed with your explicit approval. We've never taken down a client's production environment, and our process is built to keep it that way. If you'd prefer testing on staging, we'll work with what you have. We don't require a separate environment to deliver real findings — we adapt to yours.

Will your report pass our auditor and our Enterprise customer's security review?

Yes. Our testing is built on OWASP WSTG, PTES, and NIST SP 800-115 — the methodologies SOC 2 and ISO 27001 auditors expect to see. Each report includes an Executive Summary written for procurement and leadership, and a Technical Report with reproduction steps and remediation guidance for engineers. Our reports have been accepted by the security teams of global Enterprises — including some who hired us directly to test their own SaaS vendors. They will pass yours.

What if you don't find any vulnerabilities?

This is rare — in the engagements we've run on B2B SaaS, we've always found something worth reporting. But if we don't, you still get the full deliverables: a report confirming the depth of testing performed, the methodologies applied, and the components covered. That report is the same artifact your auditors and Enterprise customers need. A clean pentest from a senior team is also a meaningful result — and one that few products can actually claim.

How do you handle confidentiality, our data, and legal accountability?

Every engagement starts with a signed NDA and a contract with XRAY Cybersecurity — full corporate liability and legal accountability. Findings, exploitation evidence, and any data accessed during testing are stored encrypted, accessed only by the assigned engineers, and deleted from our systems after the engagement closes (with the exact retention period defined in your contract). We carry professional indemnity insurance, and our team operates under strict internal data handling policies. If something goes wrong, you have a company to hold accountable — with legal recourse, not a hope.

How much effort does this require from our team?

Less than most clients expect. The setup is concentrated in the first few days — provisioning access, sharing documentation, and walking through your architecture in a kickoff session. After that, your team's involvement is mostly answering occasional clarifying questions. The real time investment comes during remediation, when your engineers fix the findings. That's on your timeline, not ours — and we support them with direct technical guidance rather than adding more meetings.

Do we need to disable WAF, whitelist your traffic, or coordinate with our SOC and monitoring during testing?

We discuss all of this during the kickoff session and adapt to your setup. For most engagements, we recommend either whitelisting our IPs at the WAF level (so we test the application, not your perimeter) or testing the WAF behavior explicitly as part of scope — your choice. If you have a SOC or monitoring team, we coordinate notifications so our testing doesn't trigger an unnecessary incident response. We aim to minimize noise — but we don't disable any protections without your decision.

What if we need to pause or postpone the engagement?

It happens — release crunches, internal incidents, leadership changes. We've designed our process to accommodate this. Pauses are coordinated with your team, the engagement timeline shifts accordingly, and there's no penalty for reasonable rescheduling within the engagement period.

Is retesting included? How long do we have to fix the findings before we lose the chance to retest?

Retesting is included in every engagement — there's no separate charge. After your team remediates the findings, we re-test each one against the original exploitation to verify the fix actually holds, and issue an updated Technical Report and Security Certificate. The retest window is agreed up front and reflected in your engagement scope, so your team has the time it actually needs to remediate. We don't push, we don't drag, and we don't bill you again for work that should have been part of the original engagement.

Are there any hidden fees? What's actually included in the price?

The price you see in the proposal is the price you pay. It's fixed, written into the contract, and tied to the agreed scope. Full cycle from kickoff to final certificate is included — testing, all reports (Interim Urgent, Technical, Executive Summary, Retest), the debrief call, remediation support, retesting, and the Security Certificate. There are no hidden fees, no per-finding charges, no extra invoices for retests, reports, or follow-up calls. The only reason the price changes is if you decide to expand the scope mid-engagement — adding new components, new roles, or new applications. In that case, we estimate the additional effort and agree the change with you in writing, before any work begins. Nothing surprises you on the invoice.

Ручне тестування додатків на проникнення для B2B SaaS

Приклад: SQL-ін'єкція

Рівень 1 — Поверхневий

Знайти й позначити

Типовий результат у сканерів, фрилансерів, bug bounty

Сканер виявляє SQL-ін'єкцію в URL-параметрі. У звіті — позначка «High». І нічого більше.

Рівень 2 — Стандарт

Підтвердити та зафіксувати

Типовий результат у більшості підрядників із пентесту

Тестер підтверджує ін'єкцію, дістає кілька записів користувачів як доказ, фіксує знахідку. На цьому роботу завершено.

Рівень 3 — Глибокий

Ланцюжок і реальний вплив

Типовий результат у XRAY CyberSecurity

Знаходимо SQLi, витягуємо записи користувачів, зіставляємо з обліковими даними з забутого бекапу на сусідньому субдомені, виділяємо цілі з максимальною цінністю, експлуатуємо дефект ізоляції тенантів, збираємо кастомний інструмент для отримання адміністративного доступу — і демонструємо шлях до компрометації даних вашого Enterprise-клієнта.

Приклад: Cross-Site Scripting

Рівень 1 — Поверхневий

Знайти й позначити

Typical result for scanners, freelancers, bug bounty

Сканер знаходить reflected XSS у полі пошуку. Позначено як «Medium». Включено до списку.

Рівень 2 — Стандарт

Підтвердити та зафіксувати

Typical result for most pentest vendors

Тестер підтверджує XSS, демонструє popup як PoC із доступом до токена сесії, оформлює знахідку. Готово.

Рівень 3 — Глибокий

Ланцюжок і реальний вплив

Typical result for XRAY CyberSecurity

Знаходимо XSS, збираємо PoC, що ексфільтрує токени сесій, доставляємо його користувачам платформи, збираємо токени, через дефект валідації ролей підвищуємо привілеї, тим самим способом атакуємо адміністраторів, крадемо адмінські токени, перехоплюємо керування тенантом — і демонструємо захоплення платформи, разом зі шляхом до компрометації Enterprise-клієнтів.

Кастомні ланцюжки

У кожного SaaS — свій ланцюжок атак

У вашій платформі він є — можливо, не один — вбудований в архітектуру, бізнес-логіку та API.

Іноді ланцюжок веде до повної компрометації. Іноді ваші захисти ламають його посередині — і ми фіксуємо, де саме та чому.

У будь-якому разі: ви бачите рівно те, що бачить атакуючий.

Ручне тестування додатків на проникнення для B2B SaaS

Знайома ситуація?

Угоду з Enterprise-клієнтом заблоковано на перевірці безпеки.

У календарі — аудит SOC 2 або ISO 27001.

Сподіваєтеся, що наступний гучний інцидент буде не у вас.

Стався інцидент.

Наближається наступний раунд або M&A.

Останній пентест виглядав як «галочка».

Ціна бездіяльності

Що саме тестувати

Black-box

Grey-box

Класи вразливостей, які шукаємо

Поверхня застосунку до покриття

Що означає ручне насправді

Приклад: SQL-ін'єкція

Знайти й позначити

Підтвердити та зафіксувати

Ланцюжок і реальний вплив

Приклад: Cross-Site Scripting

Знайти й позначити

Підтвердити та зафіксувати

Ланцюжок і реальний вплив

Кастомні ланцюжки

У кожного SaaS — свій ланцюжок атак

Не впевнені, що включити в скоуп для вашого продукту? Підберемо оптимальний варіант разом.

Що ви отримаєте

Хочете побачити, як вони виглядають насправді?

Терміновий проміжний звіт

Технічний звіт

Стислий звіт для керівництва

Звіт про повторне тестування

Сертифікат безпеки

Як ми досягаємо ваших цілей

Стандарти

Методології, яких дотримуємося

Вимоги compliance, які закриваємо

Принципи, на яких будуємо роботу

Ручний хакінг

Циклічно, а не лінійно

Бізнес-вплив, а не список багів

Лише senior-інженери

Якість важливіша за швидкість

Не нашкодити

Застосовні знахідки, нуль false-positive

Комунікація інженер–інженер

Хакінг як ремесло

Від вашого першого повідомлення до фінального сертифіката

Перша розмова

Скоуп і комерційна пропозиція

Kick-off

Розвідка та моделювання загроз

Активна експлуатація

Передача основного звіту

Дебриф

Супровід усунення

Повторне тестування та фінальний сертифікат

Визнані галуззю

Їхніми власними словами

Готові тестувати ваш застосунок?

Поширені запитання

Поговоримо.