Pentests manuais com evidências de impacto.
Testamos aplicações, APIs e infraestrutura para identificar falhas de segurança reais. Você recebe evidências claras, o impacto explicado e orientações para corrigir.
Escopo autorizado por escrito antes do primeiro teste.
- RequisiçãoGET /v1/invoices/48213Autenticado como cliente A
- Resposta200 · "owner": "cliente B"A fatura 48213 pertence ao cliente B
- Achado validado
A conta do cliente A lê faturas do cliente B.
O que sua empresa precisa avaliar?
Escolha pelo tipo de ambiente. Cada avaliação é manual e termina com um relatório de evidências e correções. Na dúvida, ajudamos a definir o escopo.
- 01Sites e sistemas
Pentest Web
Avaliamos aplicações web, como portais de clientes e áreas logadas: autenticação, permissões e funcionalidades, em busca de falhas exploráveis.
- Controle de acesso
- Sessões
- Regras de negócio
- Injeção e XSS
- 02APIs e integrações
Pentest de APIs
Testamos as APIs usadas por aplicativos, parceiros e sistemas integrados, em busca de falhas de acesso, autenticação e lógica de negócio.
- Autorização por objeto
- Exposição de dados
- Abuso de fluxo
- 03Redes e servidores
Pentest de Infraestrutura
Analisamos servidores, serviços expostos à internet, redes internas e ambientes cloud para identificar riscos de segurança.
- Exposição externa
- Segmentação
- Cloud e identidades
Não sabe qual avaliação sua empresa precisa? Podemos ajudar a definir o escopo.Pedir orientação
Outros serviços de segurança
- Code reviewRevisão do código-fonte em busca de falhas de segurança.
- Design reviewAvaliação da arquitetura, antes ou durante o desenvolvimento.
- Threat modelingMapeamento das ameaças de um sistema, para decidir o que proteger primeiro.
- Consultoria em segurançaOrientação técnica para planejar e priorizar a segurança.
Por que a LoPrestiSec
Ferramentas apontam possibilidades. Um especialista confirma o que é explorável.
- Avaliação manualCada sistema é testado no seu contexto: regras, perfis e integrações.
- Falhas confirmadasSó entra no relatório o que foi verificado, com evidência.
- Impacto explicadoO que cada falha permite, em linguagem clara.
- Correção orientadaO que mudar e como confirmar que foi corrigido.
- Conversa diretaVocê fala com quem executou os testes.
A LoPrestiSec é conduzida por Lucca Lo Presti, especialista em segurança ofensiva com atuação prática em pentest de aplicações web, APIs e ambientes cloud, code review, threat modeling e design review. O responsável técnico acompanha o projeto do escopo à apresentação dos resultados.
Como funciona a contratação
Nenhum teste começa antes de o escopo ser definido e autorizado por escrito. Você sabe o que será testado, quando e com quais limites.
- 01
Conversamos
Entendemos seu sistema, seus objetivos e o que precisa ser avaliado.
- 02
Definimos o escopo
Alinhamos ambientes, limites e janelas dos testes, e formalizamos a autorização por escrito.
- 03
Realizamos os testes
Testamos manualmente e validamos cada vulnerabilidade encontrada.
Começa somente apósO escopo autorizado por escrito
- 04
Entregamos os resultados
Apresentamos as evidências, os impactos e as recomendações de correção ao seu time.
O que você recebe após o pentest?
Dois relatórios: um para decidir, outro para corrigir. Abaixo, uma página do relatório técnico, com dados fictícios.
Relatório executivo
Os principais riscos, os possíveis impactos para o negócio e a prioridade de cada correção, em linguagem clara.
Relatório técnico
Vulnerabilidades validadas, evidências reproduzíveis e a recomendação de correção de cada achado.
Token de redefinição de senha pode ser reutilizado
- Ativo
- app.exemplo.com.br
- Conta usada
- qa.a (teste)
- Referência
- CWE-640 · WSTG-ATHN-09
Evidência
O mesmo token trocou a senha duas vezes, com 40 minutos de intervalo. O login com a segunda senha confirma que a troca aconteceu.
Ver as 3 requisições do teste
- 14:02POST /auth/reset{"token":"7f3a…","password":"Teste#1"}200 {"status":"password_changed"}
- 14:42POST /auth/reset{"token":"7f3a…","password":"Teste#2"}200 {"status":"password_changed"}
- 14:43POST /auth/login{"user":"qa.a","password":"Teste#2"}200 {"session":"…"}
Quem tiver acesso a um link de redefinição já usado, por exemplo pelo histórico do navegador ou por um email encaminhado, consegue trocar a senha da conta. O teste se limitou à conta de teste qa.a.
Severidade: média
O resultado é a tomada da conta, mas exige acesso prévio a um link enviado ao usuário.
Recomendação
Invalidar o token no primeiro uso e limitar a validade a 15–30 minutos.
Para verificar, repita a requisição das 14:42 com um token já usado: a resposta esperada é 400 e a senha não muda.
Como a severidade é definida
- Crítica
- Exploração simples, com impacto amplo sobre dados ou operações.
- Alta
- Impacto relevante, com alguma condição para explorar.
- Média
- Impacto limitado, ou exploração que depende de cenário específico.
- Baixa
- Fortalece a defesa; tem pouco efeito isolado.
Defina o escopo com quem vai testar.
Não é preciso saber todos os detalhes técnicos: conte o que sua empresa precisa avaliar e ajudamos a definir o escopo. Em seguida, enviamos uma proposta com esforço e prazo.
Enviar este formulário não inicia testes nem autoriza a realizá-los: eles só começam depois que o escopo é definido e autorizado por escrito.
- [email protected]
- Telefone
- +55 (15) 99745-2589
- Conversar pelo WhatsApp
- Horário
- Segunda a sexta, das 9h às 18h
- Sigilo
- NDA antes de informações sensíveis
Perguntas frequentes
Não encontrou sua dúvida? Fale com a gente sobre o seu caso.
Falar com um especialistaQual a diferença entre pentest e varredura de vulnerabilidades?
A varredura é automatizada e aponta possíveis falhas. No pentest, um especialista explora manualmente o que encontra para confirmar se a falha é real e qual é o impacto, incluindo problemas de lógica que ferramentas não detectam.
O pentest pode afetar sistemas em produção?
Os testes são planejados para minimizar esse risco: técnicas, janelas e limites são definidos com a sua equipe antes do início, e testes com potencial de impacto só são feitos com autorização explícita. Quando possível, recomendamos um ambiente de homologação equivalente.
O que é necessário para receber uma proposta?
Uma descrição do que deve ser avaliado (aplicações, APIs, faixas de IP ou ambientes cloud) e do objetivo do teste. Com isso definimos escopo, esforço e prazo.
Quanto tempo leva um pentest?
Depende do tamanho e da complexidade do escopo. O prazo é estimado na proposta, antes da contratação.
Vocês assinam acordo de confidencialidade?
Sim. Podemos assinar um NDA antes de receber qualquer informação sensível sobre o ambiente.
Leituras técnicas
- Pentest Web
Como Funciona um Pentest em Aplicações Web na Prática
· 15 min - API Security
API Security em 2026: Os Erros que Estão Expondo Empresas Sem que Elas Percebam
· 18 min - Pentest
Diferença Entre Pentest e Scan de Vulnerabilidades: O Que Realmente Protege Sua Empresa?
· 13 min