Pentest de aplicações web

Por que um pentest web vai além do scanner

Ferramentas automáticas encontram versões desatualizadas e cabeçalhos ausentes. Os achados que causam vazamentos de verdade — um usuário vendo dados de outro, um cupom aplicado infinitas vezes, um convite que dá acesso de administrador — dependem de entender o que a aplicação deveria permitir. Isso é trabalho de especialista, e é onde concentramos o tempo do teste.

O que testamos

• Autenticação e sessão: login, MFA, recuperação de senha, SSO/OAuth, expiração e revogação de sessão.
• Autorização: acesso horizontal e vertical entre usuários, perfis e tenants (BOLA/IDOR, escalonamento de privilégio).
• Lógica de negócio: pagamentos, cupons, limites, fluxos de aprovação, condições de corrida.
• Injeções e entrada de dados: SQL/NoSQL, XSS, template injection, upload de arquivos, desserialização.
• Integrações e servidor: SSRF, webhooks, armazenamento em nuvem, configurações de CORS e cabeçalhos.
• Exposição de dados: respostas que entregam mais do que a tela mostra, logs, arquivos e backups acessíveis.

Cobertura guiada pelo OWASP Top 10, OWASP WSTG e ASVS, em formato black, gray ou white box — recomendamos gray box, que rende mais cobertura por dia de teste.

Como funciona

1. Escopo (1 conversa): entendemos funcionalidades, perfis e ambiente. Proposta com preço fechado em até 24h.
2. Preparação: NDA, regras de engajamento, contas de teste por perfil e janela de execução.
3. Teste: reconhecimento, análise manual e exploração controlada. Achados críticos são avisados na hora, sem esperar o relatório.
4. Relatório: sumário executivo, achados com severidade, evidências e correção recomendada para a sua stack.
5. Reteste: validamos as correções e emitimos relatório atualizado.

Achados típicos em aplicações web

• Usuário comum acessando pedidos, faturas ou documentos de outros clientes.
• Convite ou troca de perfil que concede privilégio de administrador.
• Recuperação de senha ou troca de e-mail que permite assumir contas.
• Cupons, limites e saldos manipuláveis por condição de corrida.
• Upload que aceita arquivos executáveis ou expõe arquivos de outros usuários.
• Funções internas acessíveis sem autenticação por estarem só escondidas da interface.

Cada achado vem com prova de conceito e o impacto em linguagem de negócio.

Pentest que serve para auditoria

O relatório traz escopo, período, metodologia, severidade justificada e evidência de reteste — o que auditores e clientes procuram em ISO 27001 (A.8.8 e A.8.29), SOC 2 (CC4.1 e CC7.1), PCI DSS 4.0 (requisito 11.4), LGPD (art. 46), resoluções do BACEN e, para quem atende a Europa, NIS2 e DORA. Também emitimos carta de atestado para enviar a clientes sem expor detalhes técnicos.

Por que a Pentest Machine

• O fundador executa e garante a qualidade. Mais de 20 anos de experiência, carreira internacional em seis das maiores empresas do mundo e palestras na OWASP AppSec USA, na Black Hat e em várias BSides. Ele participa dos testes e revisa cada relatório antes da entrega.
• Só especialistas sêniores no ataque. Ferramentas próprias e IA aceleram o trabalho repetitivo; o julgamento sobre o que explorar e como encadear é humano.
• Transparência comercial. Preço fechado em 24h, NDA antes do escopo, reteste incluso e faturamento no Brasil, na UE ou nos EUA.
• Relatório que serve para três públicos: board, time de desenvolvimento e auditoria.

O que você recebe

• Relatório técnico e sumário executivo (PT, ES ou EN).
• Prova de conceito reproduzível e impacto de negócio de cada achado.
• Severidade justificada (CVSS ajustado ao contexto).
• Reunião de apresentação com o time de desenvolvimento.
• Reteste incluso e carta de atestado para clientes e auditorias (ISO 27001, SOC 2, PCI DSS, LGPD).

Perguntas frequentes

Leia também

• Quanto custa um pentest em 2026
• O que é pentest e quais os tipos
• Erros de JWT e OAuth que mais encontramos
• Checklist para contratar um pentest

Outros serviços