מייסדים ומפתחים עצמאיים
המוצר עלה מהר עם Cursor, Claude, Lovable, Bolt, Replit או כלי דומה, ועדיין לא עבר מבט אבטחה נפרד.
מוצרים דיגיטליים
בניתם אתר או אפליקציה עם AI? כדאי לבדוק גם את האבטחה.
היום אפשר לפתח מוצר דיגיטלי במהירות שלא הכרנו. אבל מערכת שעובדת היא לא בהכרח מערכת שמוגנת כמו שצריך. אנחנו בוחנים הרשאות, גישה למידע, ממשקי API, הגדרות ענן וחולשות אבטחה, כדי שתוכלו להשיק ולהפעיל את המוצר עם תמונה ברורה יותר של הסיכונים.
תמונה להמחשה. לא פרויקט של CLVR MIND.
- לפני השקה ואחריה
- הרשאות בין משתמשים
- מפתחות, ענן וחיבורי AI
למי זה מתאים
עסק עם אתר שמחזיק פניות או תשלום
האתר נראה תקין. השאלה היא מי יכול לקרוא פניות, קבצים או פרטי לקוחות.
מוצר עם כמה לקוחות על אותה מערכת
הסיכון הקלאסי הוא שלקוח אחד יראה נתונים של לקוח אחר.
NEW GENERATION SECURITY
המוצר כבר באוויר. האם גם האבטחה מוכנה?
לפני השקה
בדיקה לפני שהמערכת נפתחת ללקוחות. מתאים למוצר חדש או לגרסה ראשונה.
אחרי השקה
המוצר כבר באוויר. מחפשים חשיפה שנשארה מאחור, בלי להעמיד פנים שזו סריקה של כל האינטרנט.
אחרי שינוי משמעותי
פיצ׳ר חדש, חיבור AI, תשלום, או שינוי במבנה. בודקים את מה שהשתנה ואת מה שהוא נוגע בו.
מה כוללת העבודה
כניסה והרשאות
האם משתמש יכול לפתוח רק את מה ששלו, גם אם הוא משנה מזהה בכתובת או בבקשה.
מידע ומסדי נתונים
הרשאות אחסון, קבצים, ומפתחות שיושבים בקוד או אצל הלקוח בדפדפן.
API וצד שרת
בדיקה שההחלטה מי מורשה מתקבלת בשרת, לא רק במסך.
ענן ותלויות
הגדרות חשבון, חבילות חיצוניות, ו־webhooks שמקבלים בקשה בלי לוודא מי שלח אותה.
מה נבדק בפועל
- סקירת אבטחה לאתר
- סקירת SaaS
- אפליקציות ווב ומובייל
- אימות זהות והרשאות
- בקרת גישה שבורה
- חשיפת מידע בין משתמשים ובין לקוחות
- הרשאות מסד נתונים ואחסון
- אבטחת API
- הרשאות בצד השרת
- חשיפת סודות ומפתחות
- הגדרות ענן
- רכיבים של צד שלישי
- אבטחת webhooks
- העלאת קבצים
- הגבלת קצב ושימוש לרעה
- יומן ובקרה
- חיבורי AI ומודלים
- הזרקת הנחיות וחשיפת מידע
- הרשאות רחבות מדי לסוכן AI
- גבולות גישה של כלי AI
העבודה נשענת על OWASP Top 10:2025, OWASP ASVS 5.0, OWASP API Security Top 10 והנחיות OWASP ל־GenAI. אלה מסגרות בדיקה, לא הסמכה.
איך זה מתקדם
- 01
היקף כתוב
איזו מערכת, איזו סביבה, ומה מותר לגעת בו. בלי סיסמאות של לקוחות אמיתיים בטופס באתר.
- 02
בדיקה לפי הסיכון
נשענים על מסגרות כמו OWASP Top 10:2025, ASVS 5.0, API Security Top 10 והנחיות GenAI. אלה מסגרות עבודה, לא תעודה.
- 03
מה לתקן קודם
ממצאים עם הסבר, ראיה והמלצה. לא רשימת הפחדה.
מה השירות הזה לא מבטיח
- בניית מוצר עם AI לא אומרת שהמוצר לא מאובטח, וגם לא שהוא מאובטח.
- הבדיקה אינה הסמכת OWASP ואינה אישור רגולטורי.
- אין כאן סורק ציבורי. לא מדביקים כתובת באתר ומקבלים דוח.
- בדיקה פעילה נעשית רק בהרשאה ובהיקף סגור.
שאלות על השירות
הוא לא חייב על פי איזו תעודה אוטומטית. הוא כן צריך את אותה בדיקה שכל מערכת עם משתמשים, מידע או תשלום צריכה, בלי קשר לכלי שכתב את הקוד.