Pen-Test RFP — Stratify v2.1
Status: Vendor-Shortlist + RFP-Brief. Sende vor Public Launch. Owner: Toby. Stand 2026-05-19.
1. Scope
Phase-A-Stratify-Stack:
- Web:
apps/webauf Vercel EU (Next.js 15 App Router) - API:
/api/v1/*(REST + Bearer-Auth + Rate-Limit),/api/webhooks/*(HMAC-Signaturen),/api/cron/*(Authorization-Header-Bearer) - Mobile: Expo iOS + Android Build
- Backend: Supabase EU (Postgres + Auth + Storage + Realtime + RLS)
- Integrationen: Stripe Checkout, Resend Email, web-push (VAPID), Expo Push, PostHog, Sentry
Nicht im Scope: Stripe-internals, Apple/Google APNs/FCM, Supabase-internals.
2. Testtypen (priorisiert)
| # | Test | Priorität | Begründung |
|---|---|---|---|
| 1 | OWASP-Top-10 Web | P0 | App-Layer-Schutz |
| 2 | B2B-API Bearer-Auth + Rate-Limit Bypass | P0 | Partner-Trust |
| 3 | Supabase RLS-Bypass via Anon-Key | P0 | wichtigster Datenschutz-Layer |
| 4 | Audit-Log Tamper-Resistance | P0 | Compliance |
| 5 | Webhook-Signature-Verification (Stripe, Supabase, Partner-Out) | P1 | Replay-Attacks |
| 6 | Cron-Endpoint-Auth (CRON_SECRET) | P1 | Drainer-Manipulation |
| 7 | Server-Action CSRF + Origin-Check | P1 | Account-Hijack |
| 8 | Mobile Reverse-Engineering | P2 | Secrets in Bundle |
| 9 | Subdomain Takeover (stratifyinvest.com) | P2 | DNS-Footprint |
| 10 | DAST des Public Marketing-Surface | P2 | XSS / SSRF |
3. Out-of-Scope für v2.1
- Soziale Manipulation
- Physische Zugangstest
- DoS-Stress-Tests > 100 req/s (Vercel hat eigene Limits; informelles Limit mit Test-Vendor abstimmen)
4. Vendor-Shortlist (Europa-only, DSGVO-konform)
| Vendor | Sitz | Stärken | Vorgeschlagene Phase |
|---|---|---|---|
| Cure53 | Berlin | Top-Tier Web + Crypto-Auditing. Hohe Berichts-Qualität. | Phase A (vor Public Launch) |
| Securitum | Kraków | Skaliert günstiger als Cure53. EU-only. Strong API + Mobile. | Phase A (Alternative) |
| Cobalt.io | Berlin | PtaaS (Pen-Test-as-a-Service). Iterativ, gut für agile Sprints. | Phase B (Re-Test bei Lizenz-Grant) |
| Securify | Amsterdam | Spezialisierung auf Web3 + FinTech. | Backup |
5. Timeline
| Tag | Meilenstein |
|---|---|
| T-21 | RFP an Top-3 Vendors. Briefing-Call (30 Min) je Vendor. |
| T-14 | Angebote zurück. Toby + Antonios entscheiden. |
| T-10 | Vertrag unterzeichnet. Vendor erhält Sandbox-Zugang + Test-Daten. |
| T-7 | Kickoff. Read-Only-Audit auf staging.stratifyinvest.com. |
| T-3 | Active Testing. |
| T+0 | Final Report + Debrief-Call. |
| T+5 | P0-Findings behoben. Vendor verifiziert per Re-Test. |
| T+10 | Public Launch freigegeben. |
6. Budget-Erwartung
- Cure53: € 25–35k für die Scope-Liste oben (5–7 Personentage). Premium.
- Securitum: € 15–22k. Mittellage.
- Cobalt: € 12–20k initial + monatlich für Re-Tests. Subscription.
Pre-seed-Budget-Linie: 10% des Round = CHF 50k → max € 25k für initialen Pen-Test, Re-Test bei Phase C separat.
7. RFP-Brief-Template (an Vendor senden)
Subject: Pen-test RFP — Stratify v2.1 (Pre-launch B2B2C, Vercel + Supabase)
Stratify ist ein Pre-Seed-Startup (Zürich) mit einem Pre-Launch-B2B2C-Produkt:
research-publication-grade Investment-Signale via Web + iOS + Android, plus
REST-API für Neobroker-Partner.
Stack: Next.js 15 (Vercel EU) · Expo SDK 52 · Supabase EU · Stripe · Resend.
Code: privates GitHub-Repo, NDA-Read-Zugang verfügbar.
Scope: docs/compliance/pentest-rfp.md (anbei).
Wir suchen einen Single-Engagement-Test, etwa 5–7 Personentage, mit Debrief
und Re-Test-Window von 10 Tagen. Public-Launch-Datum: TBD (gated auf P0-fix
+ FMA-Counsel-Memo).
Bitte schickt:
1. Angebot inkl. Tagesatz, Gesamtaufwand, Lieferzeitfenster
2. Beispiel eines Reports (anonymisiert)
3. Profil der vorgeschlagenen Engineer(s)
4. EU-Datenverarbeitungs-Bestätigung (DSGVO + DPA)
5. Disclosure-Policy (Coordinated Disclosure)
Wir entscheiden binnen 7 Tagen nach Angebotseingang.
— Toby Temmen, Stratify / wait, what.
[email protected]8. Re-Test (Phase C bei FMA-Grant)
Bei Aktivierung von Sumsub/Onfido KYC + Stripe Connect Pilot-Payouts + Suitability-Engine: separates Engagement, gleicher Vendor wenn möglich, ~ € 20k.
v0.1 — 2026-05-19.