Pentest em aplicações web: testamos sua aplicação como um atacante testaria
Simulação controlada e autorizada de ataque real contra o seu site, sistema ou SaaS, cobrindo autenticação, autorização, lógica de negócio e proteção de dados, com metodologia baseada no OWASP.
O que é pentest em aplicações web
Pentest (teste de invasão ou teste de intrusão) em aplicações web é contratar especialistas para tentar invadir o seu sistema, com autorização por escrito e regras combinadas, e descobrir por onde um atacante entraria. O foco está no que ferramentas automáticas não enxergam: um cliente que acessa os dados de outro, um usuário comum que chega a uma função de administrador, uma regra de preço ou de desconto que pode ser burlada.
É indicado para qualquer aplicação com login, dados de clientes ou pagamentos: SaaS, e-commerces, portais do paciente, fintechs, áreas do cliente e sistemas internos expostos à internet. Para entender o conceito em detalhe, veja o guia o que é pentest.
O que avaliamos na sua aplicação
Cobertura alinhada ao OWASP Top 10 e aos riscos específicos da lógica do seu negócio.
Autenticação e sessão
Login, recuperação de senha, MFA, tokens e sessões: se dá para entrar como outra pessoa ou continuar logado quando não deveria.
Controle de acesso
Se um usuário consegue ver ou alterar dados de outro (IDOR) ou chegar a funções de administrador.
Injeção e manipulação de dados
SQL e NoSQL injection, SSRF, XXE e injeção de comandos.
Lógica de negócio
Abuso de fluxos como checkout, cupons, limites, aprovações e regras específicas da aplicação.
Exposição de infraestrutura
Configurações incorretas, painéis administrativos expostos, arquivos esquecidos e cabeçalhos de segurança.
Client-side
XSS, CSRF, clickjacking e falhas de Content Security Policy.
Como funciona o pentest, etapa por etapa
01
Escopo e autorização
Definimos juntos o que entra no teste (módulos, perfis de usuário, ambiente), o período e o tipo de acesso. Nada começa sem o termo de autorização assinado.
02
Reconhecimento
Mapeamos a aplicação como um atacante faria: páginas, funções, APIs que ela consome, tecnologias e tudo o que está exposto.
03
Teste manual guiado pelo OWASP
Testamos autenticação, autorização, entradas de dados e regras de negócio, usando o OWASP Web Security Testing Guide e o OWASP Top 10 como base, com ferramentas de apoio.
04
Validação do impacto
Cada falha é confirmada de forma controlada, sem derrubar o sistema e sem levar dados. Só entra no relatório o que foi comprovado.
05
Relatório
Resumo executivo para a diretoria e parte técnica para o time de desenvolvimento, com severidade, evidência e recomendação de correção para cada achado.
06
Reteste
Depois das correções, testamos de novo os achados para confirmar que foram fechados, e registramos isso no relatório.
O que você recebe
- Resumo executivo em linguagem de negócio: o risco, o impacto e o que corrigir primeiro.
- Achados técnicos com severidade, passos para reproduzir, evidências e recomendação de correção.
- Mapeamento dos achados para as categorias do OWASP Top 10.
- Reunião de leitura dos resultados com o seu time.
- Reteste dos achados corrigidos, com atualização do relatório.
Veja em detalhe o que deve vir em um relatório de pentest.
Black box, gray box ou white box
No black box testamos sem credenciais, como um atacante externo. No gray box recebemos usuários de teste de cada perfil e conseguimos testar a fundo o que acontece depois do login, que é onde estão as falhas mais graves. No white box também temos acesso a código ou documentação.
Para a maioria das aplicações web, o gray box entrega o melhor resultado por hora de teste. Compare os formatos em tipos de pentest.
Por que não basta um scanner
Scanners automáticos são úteis para achar versões desatualizadas e configurações óbvias, mas não entendem regra de negócio. Eles não percebem que trocar um número na URL mostra o pedido de outro cliente, nem que um cupom pode ser aplicado duas vezes. No pentest, só entra no relatório o que foi validado por uma pessoa, com evidência. Entenda a diferença em pentest ou scan de vulnerabilidades, ou rode agora a nossa verificação pública gratuita para ver o que o seu site já expõe.
Guias e páginas relacionadas
Entenda o pentest
Por setor
Perguntas sobre o pentest em aplicações web
Dúvidas comuns de quem está avaliando contratar um pentest ou auditoria de segurança.
Sua aplicação web já foi testada por um atacante de verdade?
Conversa técnica sem compromisso para definir o escopo e descobrir o nível real de exposição da sua aplicação.