Posvítíme si na zranitelnosti ve vaší aplikaci.

Hledáme zneužitelné chyby ve vašem webu, API nebo AI funkcích dřív, než je odhalí útočník nebo zákazník při kontrole dodavatele.

Pro SaaS, e-commerce a produktové týmy před nasazením. Každý nález ručně ověříme a popíšeme tak, aby vývojáři mohli rovnou opravovat.

Nezávazně poptat test Prohlédnout ukázku nálezu

TCH-007

HIGH

STAV Otevřený

KDE /api/asistent

Prompt injection v AI asistentovi

Útočník schová instrukce do nahraného dokumentu. Asistent je poslechne a vrátí mu data, ke kterým nemá mít přístup.

Posviťte si kurzorem nebo použijte tlačítko. Ilustrativní ukázka z našeho reportu. TCH-007 je číslo nálezu, HIGH jeho závažnost.

Služby a rozsah

Čtyři standardní služby s jasně vymezeným rozsahem a orientační cenou. Vyberete podle toho, co testujete a kdy máte release. Po úvodním hovoru dostanete pevnou cenu; vývojovým agenturám testujeme i klientské projekty.

TORCH-WEB

Web/API Pentest

Autentizace, session management, role a oprávnění, business logic, oddělení dat mezi zákazníky (tenanty), zneužití API. Podle OWASP WSTG a API Top 10.

5–12 dní práce od 75 000 Kč

TORCH-AI

AI App Security Review

Prompt injection, únik dat a system promptu, oprávnění nástrojů, zpracování výstupů, zneužití API na váš účet. Podle OWASP LLM Top 10.

4–12 dní práce od 60 000 Kč

TORCH-LAUNCH

Launch Security Review

Rychlá kontrola největších rizik před releasem s pevným rozsahem. Top 5–10 nálezů, priority oprav, 45min hovor s vývojáři. Není to pentest a neříkáme mu tak.

1–3 dny práce od 25 000 Kč

TORCH-PHISH

Phishing Readiness

Bezpečné ověření, jestli zaměstnanci poznají běžné podvody a vědí, jak incident nahlásit. Jen s písemným souhlasem vedení, anonymizované výsledky a okamžité vysvětlení po kliknutí. Žádné sbírání hesel ani seznamy „nachytaných“.

2–4 dny práce od 25 000 Kč

Skoola Labs s.r.o. není plátcem DPH, proto k uvedeným cenám DPH nepřipočítáváme. Přesnou cenu potvrdíme po odsouhlasení rozsahu.

Další typy testů

Soustředíme se na webové aplikace, API, AI funkce a bezpečnostní povědomí zaměstnanců. Mobilní aplikace a širší bezpečnostní testy řešíme individuálně podle cíle, týmu a dohodnutých pravidel. Rozsah mimo standardní služby naceníme po úvodním hovoru.

Ukázkový nález

Ilustrativní příklad podle struktury našich reportů. Každý nález má svoje ID (TCH-…), závažnost, dopad na byznys a konkrétní doporučení k opravě.

VSTUP

Veřejný API endpoint s validním session tokenem

CHYBA

Chybí server-side kontrola oprávnění k objektu

DOPAD

Přístup k datům jiného tenant účtu, riziko úniku zákaznických dat

TCH-001 HIGH OPRAVENO PŘI RETESTU

Broken Object-Level Authorization

Česky: čtení cizích dat přes API. HIGH je technická závažnost nálezu; prioritu opravy určujeme zvlášť podle dopadu na váš byznys.

KROKY K REPRODUKCI

1. Přihlaste se jako uživatel A (běžná role).
2. Vyžádejte přes API objekt patřící tenantovi B.
3. API vrátí cizí data bez kontroly oprávnění.

DOPAD NA BYZNYS

Uživatel s běžnou rolí může přes API číst objekty jiného tenanta. U B2B SaaS to znamená přímé riziko úniku zákaznických dat a ztrátu enterprise dealu.

DOPORUČENÍ

Vynutit server-side kontrolu oprávnění na každém přístupu k objektu. Doplnit automatizované testy oddělení tenantů.

V reálných reportech citlivé údaje maskujeme a pracujeme jen s nezbytnými daty.

Tohle je jeden nález z reportu.

Sedmistránková ukázka obsahuje shrnutí pro vedení a jeden nález rozložený na klasifikaci, důkazy, nápravu i retest, plus rozsah a metodiku. Celý modelový report o 33 stranách pošleme na váš pracovní e-mail, bez povinného hovoru. Klient, aplikace, termíny, nálezy a data jsou smyšlené.

Otevřít ukázkový report Vyžádat celý report e-mailem

Jak test probíhá

Bez dohodnutého rozsahu, smlouvy a písemného oprávnění netestujeme nic.

01Domluvíme rozsahÚvodní hovor, návrh rozsahu a pevná cena.
02Podepíšeme pravidlaSmlouva, NDA a písemné oprávnění k testu.
03Otestujeme aplikaciRuční testování s minimálním zásahem do dat.
04Předáme reportReport pro vedení i vývojáře dodáme do 5 pracovních dnů po skončení testu a společně projdeme výsledky.
05Ověříme opravyJedno ověření oprav do 30 dnů od dodání reportu je v ceně. Další ověření nebo změny rozsahu řešíme samostatně.

OWASP WSTG OWASP API TOP 10 OWASP LLM TOP 10 GREY-BOX

Automatizaci používáme pro podporu práce, rozhodující část je ale ruční ověření. Při testu se znalostí prostředí (grey-box) pracujeme s přístupem běžného uživatele a informacemi dohodnutými předem.

Naše zásady

Exploit je důkaz.
Report je produkt.

4.1

Neprodáváme výstup ze skeneru.

Každý nález ručně ověříme a zasadíme do kontextu vaší aplikace.

4.2

Report musí vést k opravě.

Nález má dopad, důkaz, reprodukci a konkrétní doporučení pro vývojáře.

4.3

Nález musí být reprodukovatelný.

Co nedokážeme doložit a zopakovat, do reportu nedáváme.

4.4

Pracujeme s minimem dat.

Důkazy omezujeme na nezbytný rozsah, citlivé údaje maskujeme a retenční dobu domluvíme před testem.

Jak pracujeme

Víte, kdo za testem stojí. Na úvodním hovoru si potvrdíme vedoucího zakázky a zapojení týmu. Po testu s vámi projdeme nálezy a doporučené opravy.

Hlavní tým

Jakub Pokorný

Zakladatel · hlavní tester

Zaměřuje se na webové aplikace, API a bezpečnost AI funkcí. Vychází z praxe v soutěžních bezpečnostních úlohách (CTF) a výuky kyberbezpečnosti; technický nález proto umí převést do srozumitelného dopadu a konkrétní opravy.

Člen českého národního kybertýmu.
1. místo ve finále Haxagon Skirmish CZ 2026 z 23 528 účastníků.
Autor a tester CTF úloh pro Haxagon a letní školu Kybersoutěže.

Jan Marval

Penetrační tester

Testuje webové aplikace, linuxové systémy a sítě, včetně kryptografie a Wi-Fi. Útočné techniky od Log4Shell po eskalaci oprávnění zná do hloubky, protože je sám navrhuje do soutěžních scénářů a ověřuje, jak se dají zneužít.

Člen českého národního kybertýmu, reprezentace ČR na ECSC 2025 i 2026.
13. místo v Haxagon Skirmish 2025; tester finálových úloh v letech 2024 a 2025.
Autor útočných scénářů pro Log4Shell, GPS spoofing a kryptografii; úlohy pro letní školy 2024 až 2026.

Podle rozsahu se na testování, přípravě reportu a kontrole mohou podílet další členové týmu. Zapojení domlouváme předem.

Spolupráce

Jasné vedení zakázky

Vedoucí zakázky drží domluvený rozsah i komunikaci. Případné externí specialisty zapojíme jen s vaším předchozím písemným souhlasem a NDA.

Záběr

Jedna specializace

Web/API pentesty a security review AI aplikací (LLM, RAG) jsou naše jádro. Doplňkově ověřujeme i bezpečnostní povědomí zaměstnanců. Další typy testů posuzujeme individuálně podle zadání.

Kontrola

Čtyři oči na nálezech

Závažné nálezy i finální report kontroluje druhý člověk.

Kontakt

Nezávazně poptejte test

Pošlete nám pár vět o aplikaci: co dělá, jaká data zpracovává, kdy ji chcete nasadit a zda obsahuje AI funkce. Neposílejte hesla ani produkční data.

1Třicetiminutový úvodní hovor zdarma. Projdeme aplikaci a cíle.
2Po hovoru dostanete návrh rozsahu a pevnou cenu.
3Po podpisu smlouvy a písemného oprávnění začínáme testovat.

Časté otázky

Jak rychle můžete začít a kdy dostanu report?

Po podpisu a předání potřebných přístupů obvykle začínáme do 1–2 týdnů podle kapacity a rozsahu. Report dodáváme do 5 pracovních dnů po skončení testu; přesný termín potvrdíme v nabídce.

Můžu si prohlédnout celý report předem?

Ano. Sedmistránkovou ukázku si otevřete přímo na této stránce. Celý modelový report o 33 stranách pošleme na váš pracovní e-mail; stačí napsat na hello@torchlabs.cz, úvodní hovor k tomu nepotřebujete. Všechna data v obou ukázkách jsou smyšlená.

Je ověření oprav v ceně?

Ano. Jedno ověření oprav do 30 dnů od dodání reportu je součástí ceny včetně písemného výsledku. Další ověření nebo větší změny rozsahu řešíme samostatně.

Jak nakládáte s našimi daty?

Před testem dohodneme NDA, rozsah důkazů i retenční dobu. Pracujeme jen s daty nezbytnými k doložení nálezu a citlivé údaje maskujeme. Přístup mají jen předem určení členové týmu pro testování, report a kontrolu. Nikoho dalšího bez vašeho předchozího písemného souhlasu nezapojíme.

Je rychlá kontrola před nasazením pentest?

Ne. Je to rychlá bezpečnostní kontrola omezeného rozsahu před nasazením. Plný pentest má širší rozsah, detailnější metodiku a rozsáhlejší report.

Testujete produkční prostředí?

Ano, pokud to výslovně povolíte a dohodnutý rozsah to bezpečně umožňuje. U rizikových scénářů preferujeme staging nebo testovací prostředí.

Děláte phishing nebo red teaming?

Děláme phishing readiness: bezpečné ověření, jestli zaměstnanci poznají podvod a vědí, jak incident nahlásit, vždy s písemným souhlasem vedení a s anonymizovaným výstupem. Případné red-team cvičení řešíme samostatně podle cíle, povolených technik a pravidel testu.

Garantujete, že aplikace bude bez zranitelností?

Ne. Žádný seriózní pentest nemůže garantovat nalezení všech zranitelností. Testujeme v dohodnutém rozsahu, čase a metodice a transparentně reportujeme zjištěná rizika.