Pentest em aplicações web
Testamos sua aplicação com e sem login, perfil por perfil, para encontrar o que um usuário mal-intencionado conseguiria acessar, alterar ou contornar, e mostrar como corrigir.
- EntradaFormulários, parâmetros e uploads
- IdentidadeLogin, recuperação de senha e sessão
- Acesso entre perfisO que cada perfil lê e alteraExemplo: um perfil comum abre o pedido de outro cliente trocando o número na URL.
- Regras de negócioPedidos, aprovações e pagamentos fora da ordem
- Dados e integraçõesExposição de dados e chamadas a terceiros
O que é um pentest web?
O pentest web é um teste especializado de segurança realizado para identificar vulnerabilidades em aplicações web, APIs e sistemas expostos à internet. O objetivo é encontrar falhas exploráveis antes que atacantes reais utilizem essas vulnerabilidades.
Tecnologias que avaliamos
- React
- Next.js
- Node.js
- PHP
- Java
- .NET
- Python
- AWS
- Azure
- Kubernetes
- REST APIs
- GraphQL
Você sabe o que é explorável e o que corrigir primeiro.
Cada achado vem com evidência, severidade justificada, o impacto que o teste demonstrou ou o potencial, quando a exploração não foi levada adiante, e a recomendação de correção.
- Relatório executivo
- Resumo estratégico para gestores e tomada de decisão.
- Relatório técnico
- Detalhamento técnico completo com evidências e reprodução.
- Plano de correção
- Recomendações priorizadas por risco e impacto.
- Reteste das correções
- Validação das correções aplicadas, quando previsto no escopo contratado.
Do reconhecimento ao relatório
Testes manuais apoiados por ferramentas, com referência no OWASP Testing Guide e no PTES.
- 01
Reconhecimento
Mapeamento da superfície de ataque e tecnologias.
- 02
Análise
Testes automatizados e validações manuais.
- 03
Exploração controlada
Validação segura do impacto das vulnerabilidades.
- 04
Documentação
Entrega de relatórios executivos e técnicos.
Vulnerabilidades testadas
Classes de vulnerabilidade avaliadas, com base no OWASP Top 10 e no OWASP Testing Guide.
- 01SQL Injection
- 02Cross-Site Scripting (XSS)
- 03Broken Authentication
- 04Broken Access Control
- 05SSRF
- 06CSRF
- 07XXE
- 08Business Logic Flaws
- 09APIs REST e GraphQL
- 10Exposição de Dados Sensíveis
- 11Misconfiguration
- 12Componentes Vulneráveis
Perguntas frequentes
Qual a diferença entre pentest e vulnerability scan?
O vulnerability scan é automatizado e identifica possíveis vulnerabilidades. O pentest envolve análise manual especializada para validar exploração real e impacto de negócio.
O pentest segue OWASP?
Sim. Seguimos OWASP Top 10, OWASP Testing Guide e metodologias reconhecidas internacionalmente.
Vocês testam APIs?
Sim. Realizamos testes em APIs REST, GraphQL e SOAP, incluindo autenticação, autorização e validações de negócio.
O pentest pode afetar produção?
Os testes são controlados e planejados para minimizar impactos. Em ambientes críticos recomendamos homologação/staging.
Vocês assinam NDA?
Sim. NDA pode ser assinado antes do compartilhamento de qualquer informação sensível.
Quanto tempo leva o projeto?
O prazo varia conforme o escopo da aplicação e é estimado na proposta, antes da contratação.
Artigos relacionados
Conte sobre a aplicação.
Com o endereço, o ambiente e o objetivo do teste, definimos escopo, esforço e prazo.
- Horário
- Segunda a sexta, das 9h às 18h
- Sigilo
- NDA antes de informações sensíveis
- +55 (15) 99745-2589
Solicitar proposta
Retornamos em horário comercial, de segunda a sexta, das 9h às 18h.