Начну с простого — когда делаешь отчёт по пентесту, хочется не просто набор скриншотов и "вот тут дырка". Важно, чтобы заказчик понимал, что конкретно ты проверял, как, и что с этим делать дальше. Вот на что обычно обращаю внимание:

1. Краткая сводка — что пробовали, была ли успешная эксплуатация, какие уровни риска.
2. Описание инфраструктуры / целей — сразу понятно, что тестировалось.
3. Методы и инструменты — чтобы не было ощущения «магии», а было ясно, чем ты пользовался.
4. Подробный разбор уязвимостей — где, в чем проблема, как повторить, если надо.
5. Рекомендации — что и как можно исправить, не просто "там баг", а конкретно.
6. Чёткая приоритизация — что важно устранить в первую очередь.
7. По возможности ссылки на CVE, OWASP и т.п., чтобы подкрепить выводы.

Вот спорный момент — делать ли подробные логи всех действий в приложении к отчёту или оставить внутри команды? Иногда перестараемся и отчёт превращается в очень длинный документ, который никто не читает.

У меня забирает много времени именно правильная структура, чтобы и понятно, и кратко. Есть у кого свои шаблоны или советы? Как обычно выкручиваетесь с таким?