A resposta curta
Um pentest de verdade envolve horas de trabalho manual de um especialista, que entende o seu sistema e tenta passar pelas suas regras de negócio. Isso não sai de graça nem em um clique. O que existe gratuitamente, e é útil, são verificações automáticas da superfície pública: o que qualquer visitante consegue ver do seu site.
Desconfie de quem oferece "pentest grátis" e pede acesso ao seu sistema. Um teste sério sempre começa com escopo e termo de autorização assinados.
O que dá para verificar de graça
- Certificado HTTPS: se é válido, quando vence e se o site força conexão segura.
- Cabeçalhos de segurança: proteções que o navegador aplica quando o servidor pede.
- Tecnologias expostas: versões de servidor, CMS e bibliotecas que o site anuncia.
- Arquivos sensíveis expostos por engano, quando a ferramenta checa os caminhos mais comuns.
- Configuração de e-mail do domínio (SPF, DKIM, DMARC), que dificulta golpes em nome da empresa.
A verificação pública da Sovereign Tech faz esse tipo de leitura de forma passiva: só olha o que já está público, sem tentar invadir nada, e devolve uma nota com os achados explicados.
O que nenhuma ferramenta gratuita encontra
- Um cliente acessando dados de outro cliente (falhas de autorização).
- Regras de negócio burladas: preço, desconto, estoque, limite de crédito.
- Funções de administrador alcançáveis por usuário comum.
- Falhas em APIs que só aparecem com login.
- Encadeamento de falhas pequenas que, juntas, levam a um vazamento.
Essas são justamente as falhas que mais aparecem em incidentes reais de aplicações web, e são o motivo de o pentest existir.
Como usar o gratuito a seu favor
- 01Rode a verificação pública e corrija o que for simples (certificado, cabeçalhos, arquivos expostos).
- 02Use o resultado para conversar com o seu time ou fornecedor sobre o que está exposto.
- 03Se o sistema tem login, dados de clientes ou pagamentos, planeje um pentest com escopo definido.