15.10.2025

Dlaczego Twój SaaS potrzebuje pentestu przed Serią A

SaaS Finansowanie Pentest Due Diligence

Ten jeden mail, który zabija Twoją rundę

Grindowaliście przez 18 miesięcy. MRR rośnie. Pitch deck wypolerowany. Jesteście trzy tygodnie od zamknięcia Serii A.

Wtedy CISO Twojego głównego inwestora wysyła maila: „Czy ta firma miała penetration test? Czy mają security posture, które możemy przejrzeć?"

Jeśli odpowiedź brzmi „nie" lub „jeszcze nie", właśnie stworzyłeś problem. Najlepszy przypadek: opóźnienie rundy. Najgorszy: inwestor odchodzi — ponieważ każdy SaaS przetwarza dane klientów, a brak security review oznacza nieznane ryzyko.

Na co zwracają uwagę inwestorzy w 2026

Inwestorzy nie oczekują SOC 2 na dzień pierwszy. Ale szukają:

Dowodów świadomości bezpieczeństwa — Raport z pentestu pokazuje, że pomyślałeś o tym temacie. To sygnał.

Brak krytycznych podatności — Jeśli masz IDOR ujawniający dane klientów lub brak MFA na kontach admina, to czerwona flaga.

Plan naprawczy — Sam raport nie wystarczy. Inwestorzy chcą widzieć, że usunąłeś znalezione błędy.

Dwa najczęstsze znaleziska w SaaS na wczesnym etapie

Po przetestowaniu 50+ produktów na wczesnym etapie, widzę w kółko te same dwa błędy:

1. Broken Access Control (IDOR/BOLA)

Twoje API ma /api/projects/1, /api/projects/2 itd. Użytkownik z Firmy A zmienia URL na /api/projects/3 i otrzymuje dane projektów Firmy B. Żadne middleware nie sprawdza tenantowości.

Dlaczego to jest wszędzie: Startupy szybko dostarczają funkcje. Dodawanie tenant_id do każdego zapytania wydaje się tarciem. Ale jedno brakujące sprawdzenie to naruszenie danych podlegające zgłoszeniu RODO.

2. Brak Rate Limiting na endpointach auth

/api/login i /api/reset-password bez rate limiting. Atakujący może brute-force'ować dane logowania lub wyliczać prawidłowe adresy e-mail przez timing przy resetowaniu hasła.

Dlaczego to jest wszędzie: Rate limiting to niewidzialna infrastruktura — użytkownicy jej nie widzą, więc nigdy nie trafia do sprintu.

Rachunek kosztów

| Koszt | Kwota | |-------|-------| | Pentest (5–10 dni) | $$$ | | Naprawa znalezionych błędów | 1–2 tygodnie sprintu | | Utrata rundy Serii A z powodu obaw o bezpieczeństwo | Twoja firma |

Matematyka jest prosta. Pentest kosztuje mniej niż rachunek prawny za powiadomienie 500 klientów o naruszeniu RODO.

Co zrobić w przyszłym tygodniu

Umów rozmowę scopingową. 15-minutowa rozmowa definiuje, co jest testowane, a co poza zakresem. Bez zobowiązań.

Najpierw napraw nisko wiszące owoce. Włącz MFA wszędzie. Dodaj rate limiting. Uruchom skan zależności (npm audit, pip audit).

Zaplanuj test. Najlepiej 2–3 tygodnie przed rozpoczęciem due diligence inwestora, aby raport i poprawki były gotowe.

---

TL;DR

Jeśli pozyskujesz Serię A, pentest nie jest już opcjonalny. To część enterprise due diligence. Zrób to zanim zapytają — kosztuje mniej niż alternatywa.