Descubra as falhas antes que outros descubram por você.

A única forma confiável é com um teste de invasão (pentest) feito por especialistas humanos, não apenas scanners automáticos. Scanners encontram bugs óbvios — versões desatualizadas e XSS triviais — mas falhas de lógica de negócio, chains de exploração e premissas erradas só aparecem com análise manual. Auditorias regulares + monitoramento contínuo da superfície de ataque dão a visão real do risco.

A LGPD não exige pentest com esse nome, mas exige no Art. 46 medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais. Na prática, pentest documentado é uma das poucas formas concretas de comprovar essa adequação em fiscalização da ANPD ou em auditoria de cliente enterprise. Padrões como ISO 27001, SOC 2 e PCI-DSS, por outro lado, exigem pentest explicitamente.

Varia conforme escopo. O pentest é contratado em pacotes de horas: No Vuln Sprint (25h, R$ 8.750 a R$ 12.500) para aplicações pequenas, MVPs e SaaS em validação; No Vuln Deep Dive (50h, R$ 17.500 a R$ 25.000) para sistemas em produção com base ativa de clientes; e No Vuln Full Scope (100h+, a partir de R$ 35.000) para pentests enterprise com whitebox completo, mobile e cloud. O valor-hora varia de R$ 350 a R$ 500 por hora conforme stack, modalidade e prazo. PTaaS (recorrente) é sob consulta. Cada caso recebe orçamento personalizado após o escopo ser definido.

Pentest é simulação de ataque com objetivo claro: invadir. Você descobre exatamente o que um atacante real faria com seu sistema hoje. Auditoria é revisão estruturada, com acesso ao código e à infraestrutura, avaliando design, controles ausentes e dívida técnica de segurança. Pentest mostra o que quebra agora; auditoria mostra o que vai quebrar depois. Os dois se complementam.

Não. Trabalhamos com exploração controlada, sempre alinhada ao escopo. Testes destrutivos só ocorrem em ambiente de homologação ou janela de manutenção combinada. Em produção, validamos cada bug com PoC mínima — sem payloads que causem indisponibilidade.

Não. Todo o trabalho é feito com sua aplicação rodando normalmente. Em casos raros (testes de DoS específicos, race conditions de alto volume), combinamos uma janela noturna ou ambiente espelho.

Sim. Pentest contratado por escrito, com escopo definido e NDA, é prática regulamentada e exigida por padrões como ISO 27001, SOC 2, PCI-DSS e LGPD (medidas razoáveis de segurança).

De 1 a 8 semanas, dependendo do pacote e da complexidade do escopo. O Sprint (25h) cabe em uma janela de até 21 dias úteis; o Full Scope (100h+) pode chegar a 8 semanas para cobertura full-stack.

Sim, em etapas específicas: extração de superfície de ataque, taxonomia de código, geração de hipóteses. Toda hipótese é validada manualmente por um pesquisador antes de virar um achado. IA acelera. Pessoa decide.

Scanners encontram bugs óbvios — versões desatualizadas, configurações erradas, XSS triviais. Nosso trabalho começa onde o scanner termina: lógica de negócio, chains de exploração, premissas erradas. Esses bugs não aparecem em scanner nenhum.

Você recebe o relatório atestando o escopo testado, a metodologia aplicada e as classes verificadas. Isso é entregável de conformidade válido. Mas, na prática, quase nenhuma aplicação web em produção sai de uma auditoria nossa sem pelo menos 1 finding crítico ou alto.

Você corrige, abre um chamado conosco, e validamos a correção dentro do prazo definido na proposta (60 dias no Sprint). No PTaaS, o re-test faz parte do ciclo contínuo. Sem cobrança extra.

Sim. O pentest pontual (pacotes Sprint, Deep Dive e Full Scope) aceita até 3x sem juros. O PTaaS é cobrado de forma recorrente. Faturamos com NF-e (CNPJ obrigatório).

Sempre. Nosso modelo padrão é enviado antes da primeira call técnica. Aceitamos também o seu modelo, se preferir.