Druhý pár očí na váš web, než ho pustíte ven.

Scaneo není výtka, že tým dělá bezpečnost špatně. Interní práce má kontext: víte, jak systém vznikl a jak má vypadat. Scaneo se záměrně dívá bez něj, na to, jak nasazený systém opravdu vypadá zvenčí.

Podobně jako code review neznamená, že autor neumí programovat, i schopný tým může těžit z nezávislého kroku ověření. Nejrychleji to posoudíte na systému, který dobře znáte.

Scaneo nevymyslelo vlastní skenovací technologii. Používá zavedené nástroje a zdroje (např. Nmap, OWASP ZAP, Nuclei, WPScan, OpenVAS). Přínos je v procesu kolem nich: které kontroly spustit, jak výstupy sjednotit a deduplikovat, oddělit inventář od nálezů, zachovat důkaz, určit prioritu a odpovědnost a ověřit opravu rescanem.

Nejde o to, že by ostatní scannery byly špatné. Podrobnosti najdete v části Jak Scaneo funguje technicky.

Může mít. AI agent s přístupem k síti a bezpečnostním nástrojům může provádět skutečné testy a nacházet skutečné zranitelnosti. Scaneo netvrdí, že AI bezpečnostní kontrolu neumí.

Rozdíl je hlavně v procesu: Scaneo spouští definovanou sadu externích kontrol napříč veřejnou plochou systému, sjednocuje výsledky více nástrojů, odděluje inventář od nálezů, zachovává důkaz a připravuje výsledek pro opravu a rescan.

Pokud už vlastní proces máte, nejlepší odpověď není teoretická. Spusťte Scaneo na systému, který už prošel vaší kontrolou, a porovnejte výsledky. Pokud nenajde nic podstatného navíc, i to je užitečný výsledek.

Jednotlivé nástroje (Nmap, Nuclei, OWASP ZAP a další) jsou volně dostupné a s pomocí AI je spustíte rychle. Náročné je to, co je kolem nich: nastavit kontroly tak, aby bezpečně běžely proti produkci, odlišit potvrzený nález od pouhé shody verze, sjednotit výstupy více nástrojů a celé to průběžně udržovat, jak se mění nástroje i zranitelnosti. To vyžaduje zkušenosti z vývoje softwaru i z etického hackingu.

Pokud si vlastní proces postavit chcete, je to legitimní volba. Scaneo pak může posloužit jako nezávislé srovnání toho, co váš proces zachytí.

Hosting zabezpečuje a udržuje infrastrukturu, za kterou odpovídá. Rozsah té odpovědnosti se u poskytovatelů liší. Nasazená aplikace přesto může vystavovat konfiguraci, veřejné soubory, zastaralé komponenty, subdomény, API nebo nevhodné chování HTTP.

Scaneo se dívá na výsledný veřejný systém a u každého nálezu pomůže určit, zda patří vývojáři, správci webu, hostingu nebo správci serveru.

Oba nástroje řeší užitečné části problému: Cloudflare ochranu a filtrování provozu, Wordfence ochranu a monitoring WordPressu. Scaneo nic z toho nenahrazuje.

Jeho role je nezávisle ověřit výslednou veřejnou plochu, včetně věcí, které mohou být mimo odpovědnost nebo dohled konkrétního ochranného produktu (např. DNS a e-mailové záznamy, jiné subdomény nebo služby mimo proxy).

Ne. Scaneo je automatizované, opakovatelné outside-in ověření. Pentest je hlubší lidské zkoumání definovaného rozsahu, často s účty, aplikační logikou, řetězením útoků a znalostí projektu.

Scaneo může stát před pentestem nebo mezi pentesty. Tam, kde je pentest potřeba, ho nenahrazuje.

I to je úspěšný výsledek. Znamená, že definované externí kontroly v testovaném rozsahu a v daném čase nenašly důležitý problém, vaše představa o veřejné ploše dostala nezávislé ověření, máte datovaný záznam o tom, co bylo zkontrolováno, a tým neztrácel čas nerelevantními hláškami.

Neznamená to, že je aplikace stoprocentně bezpečná. Scaneo nemá důvod nálezy uměle vyrábět.

Každý nález má jeden ze dvou stavů: potvrzeno (doloženo externí odpovědí systému) nebo nepotvrzeno / k ověření (např. shoda jen podle čísla verze, kterou může distribuce opravit backportem). Detekovaná technologie, plugin nebo otevřený port se automaticky nevydává za zranitelnost.

Přes 200 kontrol v 18 oblastech: DNS a subdomény, porty a služby, TLS, web a API, CMS a komponenty, veřejné soubory, e-mailové záznamy (SPF, DKIM, DMARC), reputace domény a další. Standardně bez přístupu k serveru, kódu nebo účtům. Postup a role jednotlivých nástrojů popisuje část Jak Scaneo funguje technicky.

Ano, v rozsahu externí kontroly. Scaneo hledá veřejně dostupná API a jejich verze, včetně dokumentace typu OpenAPI/Swagger nebo GraphQL endpointů, a ověřuje, co z nich je vidět bez přihlášení: zda neprozrazují víc, než mají, jak jsou nastavené z hlediska zabezpečení a zda na nich nejsou známé zranitelnosti.

Nejde ale o plnohodnotný penetrační test API. Bez účtů a znalosti aplikace neověříme, jestli si uživatelé nemohou navzájem číst data, ani business logiku za přihlášením. Pokud je API jádrem vašeho produktu, doporučujeme Scaneo jako první krok a hloubkový test API jako navazující.

Report u každého nálezu uvádí nejpravděpodobnější odpovědnou roli: správce webu, vývojář, hosting, správce serveru nebo bezpečnostní specialista. Nález nebo celý report můžete rovnou přeposlat. Pokud nikoho vhodného nemáte, můžeme vás volitelně propojit s technickým partnerem.

Může najít chyby nasazení, DNS, TLS nebo veřejné soubory. Přínos je ale obvykle vyšší u webových aplikací, e-shopů, systémů s přihlášením, API, osobními daty, platbami, integracemi, více subdoménami a u systémů v dlouhodobé správě. Ne každý jednoduchý web potřebuje drahý bezpečnostní proces.

Jen s oprávněním. Scaneo spouštějte pouze na systémech, které vlastníte, nebo k jejichž bezpečnostnímu testování vás vlastník oprávnil. Agentury a vývojáři ho mohou používat na klientských projektech, pokud takový souhlas mají. Při objednávce to potvrzujete.

Je navržená s řízenou intenzitou požadavků a záměrně nezapisuje ani nemaže data. Nulové provozní riziko ale slíbit nelze. U citlivých nebo nestandardních systémů doporučujeme předem domluvit rozsah.

Kontrola běží v dočasném cloudovém prostředí, které vzniká jen pro ni. Po vytvoření reportu se prostředí včetně surových výstupů nástrojů smaže. Report vám pošleme e-mailem přes časově omezený odkaz a z cloudového úložiště se maže do 3 dnů.

Uchováváme jen údaje potřebné k vyřízení objednávky (e-mail, doménu, fakturaci). Výsledky kontrol nesdílíme a anonymizovaně je použijeme jen s vaším souhlasem. Podrobnosti najdete v zásadách ochrany osobních údajů.

Bez zdrojového kódu, interní infrastruktury a uživatelských účtů neposoudí chyby business logiky, interní oprávnění ani problémy dostupné jen po přihlášení.

Ne. Žádná kontrola nezaručí stoprocentní bezpečnost. Scaneo snižuje nejistotu v jasně popsaném vnějším rozsahu a v čase kontroly a doplňuje další bezpečnostní aktivity.

Scaneo lze opakovaně používat napříč klientskými systémy, ke kterým máte oprávnění: výsledek dostanete vy, vy nebo klient opravíte, rescan ověří. Podmínky pro více systémů domluvíme individuálně na support@scaneo.io.