Что должно быть в отчёте пентеста

Отчёт это главный продукт пентеста. По нему принимают решения директор, разработчики и аудитор, поэтому он должен говорить с каждым из них.

Для руководителя

• Резюме на одну страницу: что проверяли, что нашли, какой общий уровень риска.
• Три-пять главных проблем с бизнес-последствием, а не с техническими названиями.
• Что делать первым и сколько это ориентировочно займёт.

Для разработчиков

• Каждая находка: где, как воспроизвести шаг за шагом, доказательство (скриншот, запрос, ответ).
• Уровень риска по CVSS и объяснение, почему именно такой.
• Конкретная рекомендация по исправлению, а не «следуйте лучшим практикам».

Для аудитора

• Методология и границы работ.
• Даты, состав команды, режим доступа.
• Подтверждение повторной проверки после исправлений.