Scegli una società di penetration testing verificando che l'ambito definito per iscritto, i metodi di test manuali e la qualità dei report rispondano ai rischi reali della tua applicazione e alle evidenze necessarie al tuo cliente o al tuo team.
In breve
- Parti dalla decisione da prendere: preparazione al lancio, verifiche richieste da un cliente o un problema di sicurezza specifico.
- Confronta i fornitori considerando la stessa applicazione, gli stessi ruoli, la copertura delle API, i risultati previsti e le condizioni del retest.
- Chiedi un report con i dati sensibili oscurati e una spiegazione di come vengono verificati manualmente i problemi rilevati.
- COLONFILM offre una valutazione delle vulnerabilità a 420 €, un pentest per applicazioni web a 850 € e un pentest per applicazioni web e API a 1.710 €.
Di quali servizi di penetration testing hai davvero bisogno?
Un brief utile parte da una domanda legata alla tua attività. Un cliente può vedere i documenti di un altro cliente? Un utente con autorizzazioni limitate può eseguire un'azione riservata a un amministratore? Una nuova integrazione espone informazioni a destinatari non previsti? Queste domande aiutano il fornitore a concentrare il lavoro sulle parti del prodotto in cui una falla avrebbe conseguenze rilevanti.
Una valutazione delle vulnerabilità individua le debolezze e ne stabilisce le priorità, spesso attraverso una scansione automatizzata seguita da una verifica. Un penetration test aggiunge un'indagine manuale sul comportamento dell'applicazione e sugli effetti delle vulnerabilità nei flussi di lavoro reali. Entrambi hanno la loro utilità. Scegliere il servizio giusto evita di ricevere un report inadatto alla decisione che devi prendere.
Per esempio, una piccola applicazione pubblica con accesso e modulo di contatto richiede un ambito diverso rispetto a una piattaforma in abbonamento con organizzazioni, inviti, esportazione di documenti e API per i partner. Il secondo prodotto presenta più confini di sicurezza, anche se entrambi i siti hanno più o meno lo stesso numero di schermate.
| Esigenza | Punto di partenza adatto | Evidenze da richiedere |
|---|---|---|
| Stabilire le priorità tra le vulnerabilità note e rilevabili | Valutazione delle vulnerabilità con verifica | Problemi convalidati, livelli di rischio, correzioni pratiche |
| Esaminare i flussi di lavoro web autenticati | Pentest manuale dell'applicazione web | Copertura dei ruoli, evidenze riproducibili, report tecnico |
| Testare i permessi dell'applicazione e delle integrazioni | Pentest dell'applicazione web e delle API | Inventario degli endpoint, test delle autorizzazioni, copertura della logica di business |
| Valutare un ambiente aziendale esteso | Incarico specialistico con ambito personalizzato | Copertura delle infrastrutture pertinenti e documentazione richiesta per l'acquisto |
Dove trovare una società di penetration testing
Puoi rivolgerti a un tester indipendente, a uno studio specializzato, a una società di consulenza in sicurezza o a un fornitore che offre test ricorrenti tramite una piattaforma. Confronta le modalità di collaborazione prima dei marchi. Un progetto a prezzo fisso è adatto a una release o a un'applicazione ben definita. Un accordo ricorrente può essere più indicato per un team che ha bisogno di test ripetuti durante lo sviluppo del prodotto.
I marketplace per freelance possono rendere più facile confrontare prezzi e recensioni, ma esamina la descrizione effettiva del servizio. Una solida esperienza su un marketplace dimostra capacità di portare a termine gli incarichi, ma non attesta necessariamente una competenza specifica nella tua architettura. Chiedi chi svolge il lavoro, chi verifica i problemi rilevati e cosa succede quando è necessario un chiarimento.
Una società di consulenza specializzata può essere la scelta giusta quando la procedura di acquisto richiede accreditamenti specifici, qualifiche dei tester, esperienza nel settore o una valutazione di un ambiente esteso. Verifica questi requisiti direttamente con il tuo cliente prima di richiedere i preventivi. Un prezzo più basso è vantaggioso solo se il lavoro soddisfa i criteri di accettazione.
Per un progetto circoscritto relativo a un'applicazione web o a un'API, il servizio di penetration testing di COLONFILM ti offre tre ambiti di intervento pubblicati. È una soluzione pratica se puoi fornire l'accesso per i test, indicare il responsabile dell'applicazione e nominare uno sviluppatore che riceva i risultati.
Definisci un ambito del pentest che permetta ai fornitori di formulare un preventivo preciso
Descrivi l'applicazione come un insieme di risorse e flussi di lavoro. Includi nomi host, ambienti, metodi di accesso, ruoli utente, integrazioni e azioni che comportano rischi per l'attività. Specifica se l'API è REST o GraphQL e se la documentazione corrisponde alla versione distribuita. Un inventario non aggiornato crea incertezze evitabili ancora prima dell'inizio dei test.
Conta i ruoli in base ai permessi, non alle qualifiche professionali. Un proprietario e un amministratore potrebbero avere accessi identici, mentre due normali clienti appartenenti a organizzazioni diverse introducono un importante confine di isolamento. Includi account rappresentativi e spiega cosa dovrebbe poter leggere, modificare, approvare, esportare o eliminare ciascuno di essi.
- Risorse: l'applicazione esatta, i domini, gli URL di base delle API e l'ambiente.
- Identità: ruoli, confini tra tenant, flussi di accesso e modalità di autenticazione a più fattori.
- Flussi di lavoro: pagamenti, inviti, caricamenti, recupero dell'account e azioni amministrative, se pertinenti.
- Accesso: account di test, dati fittizi, documentazione ed eventuali autorizzazioni di rete necessarie.
- Risultati: destinatari, formato del report, data di consegna, indicazioni per la correzione e aspettative sul retest.
Metti per iscritto le regole dell'incarico. COLONFILM richiede un'autorizzazione firmata dal proprietario del sistema e dell'ambiente, predilige lo staging ed esclude l'ingegneria sociale e gli attacchi di tipo denial of service. Concorda le fasce orarie dei test, un contatto per le emergenze, le condizioni di interruzione e la gestione delle evidenze prima che la prima richiesta raggiunga l'applicazione.
Lo staging dovrebbe riprodurre il comportamento rilevante dell'ambiente di produzione. Registra le differenze di configurazione, integrazioni, identità e versione distribuita. Se un sistema di pagamento utilizza una sandbox, spiega quali passaggi rimangono rappresentativi. In questo modo il report può indicare con precisione ciò che è stato osservato e quali presupposti richiedono attenzione quando le modifiche arrivano in produzione.
Come valutare i test manuali e la copertura OWASP
La OWASP Web Security Testing Guide offre un riferimento strutturato per i test di sicurezza web. L' OWASP Application Security Verification Standard definisce i requisiti per la verifica della sicurezza. Chiedi quali versioni e controlli pertinenti utilizza il fornitore e in che modo queste scelte corrispondono all'ambito concordato.
Una proposta che parla di “test OWASP” ha comunque bisogno di dettagli. Chiedi al fornitore di descrivere un confine tra permessi nel tuo prodotto e come verrebbe verificato in sicurezza durante l'incarico. La risposta dovrebbe fare riferimento ai tuoi ruoli, ai tuoi dati o ai tuoi flussi di lavoro, invece di limitarsi a elencare i nomi degli strumenti di scansione.
Immagina un portale clienti da cui scaricare documenti. Un test utile verifica se l'accesso rispetta le regole di proprietà previste per i diversi account di prova. Una segnalazione utile spiega il flusso interessato, la restrizione prevista, il comportamento osservato e la conseguenza pratica. Ti servono evidenze sufficienti perché uno sviluppatore possa indagare senza esporre inutilmente i dati dei clienti.
Per un'API, chiarisci come vengono conteggiati gli endpoint. In REST, può essere rilevante la combinazione di percorso e metodo. In GraphQL, un solo endpoint HTTP può esporre molte operazioni e molti permessi dei resolver. Concorda un inventario che descriva le funzionalità effettive; altrimenti l'espressione “un endpoint” può nascondere una complessità notevole.
Cosa dovrebbe contenere un buon report di penetration testing
Prima di affidare l'incarico, chiedi un esempio con i dati sensibili oscurati. Leggi una segnalazione come se fossi lo sviluppatore incaricato di risolverla. Riesci a individuare il componente interessato, capire quali accessi sono necessari, riprodurre il comportamento in un ambiente autorizzato e identificare l'azione correttiva proposta? Anche un report lungo può non superare questa semplice verifica.
La sintesi per la direzione dovrebbe spiegare i rischi principali e le priorità in termini comprensibili per l'attività. La sezione tecnica dovrebbe sostenere queste conclusioni con evidenze. Tieni distinta la gravità tecnica dall'urgenza per l'attività: contano le caratteristiche tecniche di un problema, ma anche i dati esposti, gli utenti che possono raggiungerlo e l'importanza della funzione per il tuo prodotto.
| Elemento del report | Cosa lo rende utile |
|---|---|
| Ambito e date | Indica la versione testata, l'ambiente, le risorse e gli accessi disponibili |
| Evidenze dei problemi rilevati | Mostra il comportamento osservato riducendo al minimo le informazioni sensibili |
| Spiegazione del rischio | Collega la vulnerabilità a un impatto plausibile su questa applicazione |
| Indicazioni per la correzione | Fornisce agli sviluppatori una direzione concreta e un obiettivo da verificare |
| Copertura e limitazioni | Distingue i controlli completati dalle aree bloccate o escluse |
Chiedi come vengono accorpati i duplicati e gestiti i risultati incerti. Dieci osservazioni con un'unica causa potrebbero essere più utili come una sola segnalazione ben spiegata. Viceversa, uno stesso sintomo presente in diversi confini tra permessi potrebbe richiedere segnalazioni separate. L'obiettivo è ottenere un report che il tuo team possa trasformare in un elenco di interventi ordinati per priorità.
Confronta i preventivi di pentest con la stessa lista di criteri di accettazione
Consegna lo stesso brief a ogni fornitore selezionato, poi confronta le risposte scritte. Valuta l'adeguatezza dell'ambito, i test manuali, la qualità delle evidenze, la comunicazione, la gestione dei dati e le condizioni del retest. Segna ogni voce come chiara, da chiarire o fuori ambito. Risolvi le lacune più importanti prima di valutare il prezzo finale.
Chiedi se la durata indicata nel preventivo corrisponde al tempo di consegna o al tempo effettivamente dedicato ai test. Una finestra di consegna di otto giorni non significa automaticamente otto giornate complete di test manuali. Conferma anche quando inizia il conteggio, cosa succede se gli account smettono di funzionare e se una distribuzione durante i test modifica l'ambito concordato.
Chiarisci la titolarità del report, le modalità di condivisione consentite e gli accordi su riservatezza, conservazione ed eliminazione dei dati. Se la tua organizzazione impone restrizioni sugli strumenti di intelligenza artificiale o sui luoghi in cui si trovano i dati, segnalale prima di trasferire il materiale. Il fornitore dovrebbe spiegare il processo in modo sufficientemente chiaro da permetterti di prendere una decisione d'acquisto informata.
Tieni distinta la realizzazione delle correzioni dalla consulenza. Un report può indicare al tuo sviluppatore cosa modificare; realizzare e distribuire la modifica richiede tempo di sviluppo. Un retest verifica poi le correzioni concordate. Per confrontare meglio i prezzi, consulta la guida ai costi del penetration testing 2026.
Pacchetti di penetration testing COLONFILM e scelta più adatta
| Pacchetto | Prezzo e consegna | Ambito incluso |
|---|---|---|
| BASE | 420 € · 3 giorni | Scansione esterna e autenticata di un'applicazione web; verifica manuale di ogni problema rilevato; report con livelli di rischio e correzioni |
| STANDARD | 850 € · 5 giorni | Pentest manuale dell'applicazione web basato sui controlli OWASP Top 10 e ASVS; fino a 2 ruoli utente; evidenze di prova del concetto; sintesi per la direzione e report tecnico |
| PREMIUM | 1.710 € · 8 giorni | Tutto ciò che è incluso in Standard, più un'API REST o GraphQL con un massimo di 40 endpoint; test della logica di business e del controllo degli accessi; indicazioni per gli sviluppatori sulle correzioni; un retest entro 30 giorni; lettera di attestazione |
Scegli Base se il tuo obiettivo immediato è ottenere un inventario verificato delle vulnerabilità. Scegli Standard se ti servono test manuali del comportamento dell'applicazione per un massimo di due ruoli. Scegli Premium se l'API e i relativi permessi sono determinanti per la tua scelta e vuoi avere una possibilità definita di verificare le correzioni.
L'attestazione Premium riporta l'ambito, le date e i risultati del test. Se un cliente richiede un documento specifico o una particolare qualifica del fornitore, comunica il requisito prima di prenotare, così potrai verificare che il documento consegnato sia adeguato. Quando un'altra organizzazione esaminerà il risultato, la formulazione dei requisiti di acquisto conta quanto il nome del pacchetto.
COLONFILM è lo studio di David Colón e Flor a Saragozza, in Spagna, e si occupa di design dal 2010. Il suo profilo Fiverr è Pro e Top Rated, con oltre 1,000 recensioni e una valutazione di 4,8 stelle. Il lavoro viene realizzato con agenti di intelligenza artificiale e verificato da una persona. Valuta questo metodo di lavoro dichiarato insieme alle tue esigenze di riservatezza e ai tuoi requisiti di acquisto.
Sono progetti online con un ambito definito e una consegna chiara. Prima di prenotare, prepara l'inventario dell'applicazione, i ruoli utente, l'ambiente preferito, la scadenza e il destinatario del report. Potrai così scegliere il pacchetto di penetration testing in base a un'esigenza concreta, invece di basarti soltanto sul prezzo.
Trasforma il pentest in un piano di correzione concreto
Riserva del tempo con il team di sviluppo prima che arrivi il report. Assegna un responsabile a ogni problema rilevato e accettato, stabiliscine la priorità e registra la correzione prevista. Se più problemi hanno una causa comune, pianifica la modifica al livello appropriato invece di trattare ogni schermata interessata separatamente.
Per Premium, pianifica a ritroso partendo dalla finestra di 30 giorni prevista per il retest. Prevedi tempo per l'implementazione, i controlli interni e una distribuzione stabile da verificare. Assicurati che la versione testata e quella corretta siano identificabili. Se l'applicazione cambia in modo sostanziale, valuta se le nuove funzionalità richiedono un ambito separato.
Una buona consegna si conclude con un breve documento decisionale: cosa è stato testato, cosa è stato rilevato, cosa verrà corretto per primo e chi è responsabile del passaggio successivo. Questo documento rende l'incarico utile agli sviluppatori, alla direzione e ai team a contatto con i clienti, senza chiedere a ogni lettore di interpretare evidenze tecniche grezze.
FAQ
Una valutazione delle vulnerabilità equivale a un pentest?
Una valutazione delle vulnerabilità stabilisce le priorità tra le debolezze individuate. Un pentest aggiunge un'indagine manuale sul comportamento e sull'impatto dell'applicazione. Confronta i metodi e le evidenze previsti dal contratto con la tua esigenza effettiva.
I test possono essere eseguiti in produzione?
Discuti i vincoli dell'ambiente di produzione durante la definizione dell'ambito. COLONFILM predilige un ambiente di staging rappresentativo. L'ambiente scelto, la finestra dei test, i contatti e le condizioni di interruzione devono essere indicati nell'accordo scritto.
Un pentest dimostra che un sito web è completamente sicuro?
Un pentest è una valutazione autorizzata di un ambito concordato in un determinato momento. Il report e l'attestazione descrivono il lavoro svolto e i suoi risultati; non certificano una sicurezza assoluta.
Cosa succede se la mia API ha più di 40 endpoint?
Fornisci l'inventario prima dell'acquisto. Premium copre fino a 40 endpoint; un'API più estesa o particolarmente complessa richiede una discussione sull'ambito, affinché copertura e prezzo siano chiaramente definiti.
Quale pacchetto COLONFILM include un retest?
Premium include un retest entro 30 giorni. Base e Standard prevedono risultati diversi, quindi conferma eventuali verifiche aggiuntive di cui hai bisogno prima di prenotare.