Pentest com relatório que o time executa
Testes de invasão black, grey e white box. Reporte com risco de negócio, prova de conceito e plano de correção que seu time consegue executar.
A diferença entre pentest e varredura automatizada é a mesma que existe entre auditoria e checklist: a ferramenta lista o que reconhece, o teste encadeia falhas pequenas até chegar onde realmente dói.
Testamos como um atacante testaria, e entregamos um relatório que o seu time consegue executar — com prova de conceito, risco traduzido para linguagem de negócio e reteste incluído.
Onde atuamos
- Pentest de aplicação web e API
- Pentest de infraestrutura interna
- Análise de mobile (Android/iOS)
- Red team e simulação de phishing
O que você recebe
- Relatório executivo + técnico
- PoC de cada vulnerabilidade
- Roadmap de correção priorizado
- Reteste após correção
Quando o pentest deixa de ser opcional
Existem momentos em que o teste para de ser boa prática e vira necessidade concreta — normalmente quando o custo de descobrir a falha depois passa a ser muito maior que o do teste.
Vale notar o que o pentest não é: ele não substitui a rotina de segurança. Contratar o teste com o básico em aberto é pagar caro para descobrir o que você já sabia, e dizemos isso antes de vender.
- Antes de um lançamento que expõe dado sensível ou meio de pagamento
- Depois de mudança grande de arquitetura ou de autenticação
- Quando um cliente ou contrato passa a exigir laudo de segurança
- Periodicamente, se você trata dado pessoal em volume
Black, grey ou white box
Os três nomes descrevem quanto o testador sabe antes de começar. Black box não recebe nenhuma informação além do alvo: é o cenário mais realista e o que menos cobre, porque boa parte do prazo vai em mapear o que você já sabia.
Grey box recebe credencial de usuário comum e alguma documentação — é o melhor custo-benefício para a maioria das empresas, porque testa o cenário que mais acontece: alguém com acesso legítimo tentando ir além do que deveria. White box inclui código e arquitetura, e rende cobertura máxima por hora contratada.
O que entra no escopo
Definimos escopo por escrito antes de qualquer teste, com janela combinada, contatos de emergência e regras claras sobre o que não pode ser tocado. Teste de invasão sem autorização formal é problema jurídico, não serviço.
- Aplicação web e API, incluindo autenticação e controle de acesso
- Infraestrutura interna e superfície exposta na internet
- Aplicativo mobile Android e iOS
- Engenharia social e phishing, quando autorizado por escrito
O relatório que você recebe
Sumário executivo em linguagem de negócio — que dado está exposto, para quem, e qual o impacto se vazar. Sem jargão, porque quem aprova o orçamento da correção normalmente não é quem vai executá-la.
Para cada achado: prova de conceito reproduzível com requisição e resposta, classificação por risco de negócio e não só por CVSS, e correção sugerida. No fim, um plano priorizado e um reteste incluído — sem reteste, você não sabe se a correção funcionou.
Perguntas frequentes
Qual a diferença entre pentest e varredura de vulnerabilidade?
A varredura é automatizada e lista o que a ferramenta reconhece, com bom volume de falso positivo. O pentest tem uma pessoa encadeando falhas: três problemas de severidade baixa que juntos dão acesso administrativo nunca aparecem num scanner, porque isoladamente nenhum deles parece grave.
O teste pode derrubar meu sistema?
O risco existe e é por isso que o escopo é acordado por escrito, com janela combinada e contato de emergência disponível durante toda a execução. Testes potencialmente disruptivos só rodam com autorização explícita, e em ambiente de homologação quando você preferir.
Preciso de pentest ou preciso do básico primeiro?
Se ainda falta MFA em conta administrativa, backup restaurado de verdade, inventário do que está exposto e atualização de dependência em rotina, comece por aí. O pentest encontra o que sobra depois do básico feito, e o básico custa uma fração — dizemos isso antes de vender o teste.
O relatório serve para apresentar a clientes?
Sim. O sumário executivo é escrito para leitura externa, e emitimos também uma carta de atestado indicando escopo, período e status de correção — que é o formato que empresas grandes costumam pedir dos fornecedores em processo de homologação.
Com que frequência devo repetir?
Depende de quanto o sistema muda. Aplicação em evolução constante costuma pedir teste anual, mais um teste focado a cada mudança grande de arquitetura ou autenticação. Sistema estável com pouca alteração pode espaçar mais, desde que a varredura contínua siga rodando.
Serviços que combinam
Projetos costumam pedir mais de uma frente. Estas são as que mais aparecem junto com esta.
- CibersegurançaHardening, varredura contínua, gestão de identidade e resposta a incidentes alinhada à LGPD.
- Consultoria de TIDiagnóstico de stack, arquitetura, custo de nuvem e roadmap. Onde IA aplicada gera ROI mensurável.
- DevOpsPipelines CI/CD, IaC, observabilidade e automação assistida por IA — release sem dor de cabeça.
Quer um diagnóstico desse serviço? Vamos conversar.
Falar com a equipe