Pentest em uma frase
Pentest (de penetration test, ou teste de intrusão) é contratar especialistas para tentar invadir os seus sistemas, com autorização por escrito e regras combinadas, para descobrir por onde um atacante entraria e corrigir antes que isso aconteça.
A diferença entre um pentest e um ataque real é a autorização: escopo definido, janela de teste combinada, sigilo em contrato e nenhum dado levado embora.
Por que um scanner não basta
Ferramentas automáticas acham falhas conhecidas e configurações óbvias. As falhas que mais causam vazamento costumam ser de lógica: um cliente que consegue ver o pedido de outro trocando um número na URL, um desconto aplicado duas vezes, um usuário comum que chega a uma função de administrador. Isso só aparece quando uma pessoa entende o negócio e testa como um atacante pensaria.
Por isso o pentest combina ferramentas com horas de teste manual, e a quantidade de horas manuais é um dos melhores indicadores de qualidade de uma proposta.
O que pode ser testado
- Aplicações web: sites com login, áreas do cliente, painéis, checkouts, SaaS.
- APIs: o que alimenta o app e o site, e as integrações com parceiros.
- Aplicações com IA: chatbots e agentes ligados a dados da empresa.
- Nuvem: permissões, armazenamento e serviços expostos.
- Infraestrutura exposta à internet: servidores, VPN, painéis de administração.
Como funciona, do início ao fim
- 01Escopo e autorização: o que entra no teste, em que período, com qual tipo de acesso, e o termo assinado.
- 02Reconhecimento: mapear tudo o que está exposto e como o sistema funciona.
- 03Teste: procurar e validar falhas, de forma controlada, sem derrubar o sistema.
- 04Relatório: cada falha com risco, evidência e como corrigir, mais um resumo executivo.
- 05Reteste: depois das correções, confirmar que as falhas foram fechadas.
O que você recebe
Um relatório com duas partes. A executiva diz, em linguagem de negócio, qual é o risco e o que fazer primeiro. A técnica dá ao time de desenvolvimento o passo a passo para reproduzir e corrigir cada falha. Depois do reteste, fica a evidência de que os sistemas foram testados e corrigidos, útil para LGPD, clientes corporativos, investidores e auditorias.
Quando fazer
- Antes de lançar um sistema ou uma funcionalidade importante.
- Depois de mudanças grandes: novo checkout, nova API, nova integração, migração de nuvem.
- Quando um cliente grande, um investidor ou uma norma (PCI DSS, ISO 27001) pede evidência.
- Pelo menos uma vez por ano, para sistemas que guardam dados de clientes ou pagamentos.
Não sabe por onde começar? A verificação pública gratuita da Sovereign Tech mostra em segundos o que qualquer visitante já enxerga do seu site, e ajuda a decidir o escopo.