# Pogotowie CVE

> Pogotowie CVE (pogotowiecve.pl) to usługa szybkiego łatania luk bezpieczeństwa w aplikacjach webowych i na serwerach. Prowadzi ją programista z 20-letnim doświadczeniem: jedna osoba od diagnozy po wdrożenie poprawki. Obsługa po polsku, dla firm i osób z całej Polski, zdalnie.

## Kiedy się zgłosić

- Skaner (npm audit, Dependabot, Snyk, Trivy) albo klient pokazuje krytyczne CVE w zależnościach.
- Podejrzenie włamania: obce pliki, przekierowania, spam wysyłany z serwera.
- Hosting lub CERT zgłosił podatną wersję oprogramowania albo zablokował konto.
- System, którego od lat nikt nie aktualizował (stary framework, PHP, Node.js, Java).
- Audyt bezpieczeństwa, odbiór u klienta albo raport z pentestu do wdrożenia.

## Zakres usług

- Triage CVE: ocena, które podatności da się wykorzystać w danej konfiguracji, a nie tylko odczyt wyniku CVSS.
- Aktualizacja zależności i frameworków z testami regresji.
- Naprawa podatności w kodzie: SQL injection, XSS, CSRF, SSRF, błędy autoryzacji, niebezpieczna deserializacja, upload plików.
- Hardening serwera: TLS, nagłówki bezpieczeństwa, uprawnienia, firewall, sekrety poza repozytorium.
- Kontenery i CI/CD: obrazy Docker bez znanych CVE, skanowanie w pipeline.
- Zapobieganie nawrotom: Dependabot lub Renovate, alerty o nowych CVE dla danego stacku.

Technologie: Java/Spring, Python, Node.js, TypeScript, React/Next.js, PHP, WordPress, SQL, Docker, Kubernetes, Linux, nginx, Cloudflare, AWS, GitHub Actions, GitLab CI.

## Jak wygląda współpraca

1. Zgłoszenie przez formularz: domena, stack, hosting, opis problemu.
2. Diagnoza i wycena: zakres i cena przed rozpoczęciem pracy.
3. Łatanie: zmiany w osobnej gałęzi lub pull requeście, testy, wdrożenie w uzgodnionym oknie z planem wycofania.
4. Raport: co było groźne, co poprawiono, co monitorować. Dostęp można od razu odebrać.

Umowa o poufności (NDA) na życzenie. Cennik nie jest publiczny, bo wycena zależy od zakresu.

## Kontakt

- Formularz: https://pogotowiecve.pl/#zgloszenie
- E-mail: kontakt@pogotowiecve.pl
- W formularzu nie należy podawać haseł ani kluczy dostępowych.