Handoff Security / 企業安全
香港網站安全測試收費：如何理解報價？
比較 Handoff Security 起步收費，了解哪些因素會影響固定報價。
甚麼影響報價？
評估類型、對外服務、流程、使用者角色及 API endpoints 都會影響所需工作。頁數少的網站也可能有複雜權限；單靠頁數不能可靠估計測試工時。
應選哪項服務？
對外評估檢查暴露服務，並驗證重要掃描結果；網站及 API 安全測試檢查約定的應用行為；單一問題驗證只調查指定疑慮，不是完整評估。
測試前有甚麼安排？
先討論是否適合並約定範圍，再提供固定報價。測試前需要書面授權及全額付款，交付日期在報價中約定，額外工作另議。
服務與價格
網站／API 安全測試
適合推出或更新前的自訂客戶平台。
HK$7,800 起
測試範圍
1 個應用 · 最多 2 個流程／2 種角色／6 個 API 端點
流程是一連串操作，例如完成一次預約；角色是使用者類別，例如客戶或管理員。報價前會由我們與你及網站負責人確認。
API 是讓網站與其他系統交換資料或執行操作的介面。實際端點由我們與網站負責人確認；一個端點不等於一項網站功能。
優先使用測試環境、測試帳戶及測試資料，避免使用真實客戶資料。
所有列明上限同時適用。報價前約定流程、使用者類別、各使用者可查看的資料及測試帳戶。檢查客戶之間的資料是否分隔時，即使屬於同一類別，亦須提供不同帳戶。
複雜付款、同一平台內不同公司客戶的資料及使用權限、上傳功能，以及連接其他服務的功能，如超出起價範圍，須另行界定工作及報價。
技術範圍如何計算
每個 API 端點（endpoint）按 HTTP 方法及標準化路徑的組合計算。
例如 GET /orders 與 POST /orders 屬不同端點；複雜情況須重新確認範圍。
包括工作
在約定範圍內檢查網站如何確認登入者身分、使用者能看甚麼及做甚麼，以及網站如何處理使用者提交的資料。
OWASP 提供網站安全測試參考指引。實際檢查項目按書面範圍約定，本服務不保證涵蓋指引內所有項目。
交付內容
提供測試紀錄、重現問題的步驟及證據、已驗證影響、風險等級及判斷原因、修補建議和測試限制。
講解與複測
包括一次最多 30 分鐘網上講解；報告後 30 日內一次原報告問題的複測，最多 2 小時。超出部分另議。
不包括項目
- 修改程式碼。
- 全面檢查原始程式碼（源碼審計）。
- 令服務無法正常運作的阻斷服務測試（DoS）。
- 以欺騙人員方式取得資訊或存取權限的社交工程。
- 入侵後再存取其他內部系統的內網橫向移動。
- 合規認證。
對外系統漏洞評估
適合對外開放的系統。
HK$4,800 起
測試範圍
1 個對外目標
檢查一個約定的網站網址或對外提供服務的系統，事先取得書面授權。
與網站負責人列明 IP 位址或完整網域名稱、要檢查的服務及不測試的部分。
起價視乎約定的對外服務及核實工作量而定；提供多項服務的主機須另行界定範圍。
包括工作
進行自動化漏洞掃描，並核實重要結果。
未能驗證的項目會清楚標明，不會把工具列出的所有結果當作已確認漏洞。
交付內容
提供測試範圍、發現、驗證狀態、風險、測試限制及修補建議。
講解與複測
包括一次最多 20 分鐘網上講解；報告後 30 日內一次原報告問題的複測，最多 1 小時。超出部分另議。
不包括項目
- 不包括登入後全面測試、業務操作流程的邏輯測試、內部網絡測試或完整網站應用程式滲透測試。
- 其他供應商的平台或系統不會自動納入，包括共用主機及內容傳遞網絡（CDN，即透過多部伺服器分發網站內容的服務）。
單項問題驗證
適合已知問題或修補驗證。
HK$1,200 起
測試範圍
1 個指定問題 · 最多 1 小時
客戶須提供已有報告或可用的問題操作步驟、書面測試授權及已備妥的登入安排。列明時數上限適用於實際驗證工作。
調查存取設定、額外問題或超出約定上限的工作，須先另行報價才繼續。
交付內容
提供簡短書面重現及驗證紀錄，並列明限制。
這次未能再次觸發問題，不代表問題一定已修好。
不包括項目
- 不包括新一輪全面測試，亦不會重新發出原供應商的合規結論。
- 對外系統漏洞評估及網站／API 安全測試已包括的複測，不會另收此項費用。
起價只適用於有限範圍，確認範圍後提供固定報價。費用涵蓋約定工作及交付，不按發現數量計酬，亦不保證發現漏洞或完全安全。
測試開始前須全數付款（100%）並取得書面測試授權。付款前，固定報價會列明範圍、交付內容、不包括項目、費用、測試日期及預計交付時間。