Testes de intrusão a aplicações web

Porque um pentest web vai além do scanner

As ferramentas automáticas encontram versões desatualizadas e cabeçalhos em falta. Os achados que causam fugas de dados a sério — um utilizador a ver dados de outro, um cupão aplicado infinitas vezes, um convite que dá acesso de administrador — dependem de perceber o que a aplicação deveria permitir. É trabalho de especialista, e é onde concentramos o tempo do teste.

O que testamos

• Autenticação e sessão: login, MFA, recuperação de palavra-passe, SSO/OAuth, expiração e revogação de sessão.
• Autorização: acesso horizontal e vertical entre utilizadores, perfis e tenants (BOLA/IDOR, escalada de privilégios).
• Lógica de negócio: pagamentos, cupões, limites, fluxos de aprovação, condições de corrida.
• Injeções e entrada de dados: SQL/NoSQL, XSS, template injection, carregamento de ficheiros, desserialização.
• Integrações e servidor: SSRF, webhooks, armazenamento na cloud, CORS e cabeçalhos.
• Exposição de dados: respostas que entregam mais do que o ecrã mostra, registos, ficheiros e cópias de segurança acessíveis.

Cobertura orientada pelo OWASP Top 10, OWASP WSTG e ASVS, em black, grey ou white box — recomendamos grey box, que rende mais cobertura por dia de teste.

Como funciona

1. Âmbito (1 conversa): percebemos funcionalidades, perfis e ambiente. Proposta com preço fechado em 24 h.
2. Preparação: NDA, regras de atuação, contas de teste por perfil e janela de execução.
3. Teste: reconhecimento, análise manual e exploração controlada. Achados críticos são comunicados de imediato.
4. Relatório: sumário executivo, achados com severidade, evidências e correção recomendada para a sua stack.
5. Reteste: validamos as correções e emitimos relatório atualizado.

Achados típicos em aplicações web

• Utilizador comum a aceder a encomendas, faturas ou documentos de outros clientes.
• Convite ou alteração de perfil que concede privilégios de administração.
• Recuperação de palavra-passe ou alteração de e-mail que permite tomar contas.
• Cupões, limites e saldos manipuláveis por condição de corrida.
• Carregamento de ficheiros que aceita executáveis ou expõe ficheiros de outros utilizadores.
• Funções internas acessíveis sem autenticação por estarem apenas escondidas da interface.

Cada achado inclui prova de conceito e impacto em linguagem de negócio.

Testes que servem para auditoria

O relatório inclui âmbito, período, metodologia, severidade justificada e evidência de reteste — o que auditores e clientes procuram na ISO 27001 (A.8.8 e A.8.29), no SOC 2 (CC4.1 e CC7.1), no PCI DSS 4.0 (requisito 11.4), no RGPD (art.º 32.º), na NIS2 e no DORA. Emitimos também uma declaração para enviar a clientes sem expor detalhes técnicos.

Porquê a Pentest Machine

• O fundador executa e garante a qualidade. Mais de 20 anos de experiência, carreira internacional em seis das maiores empresas do mundo e palestras na OWASP AppSec USA, na Black Hat e em várias BSides. Participa nos testes e revê cada relatório antes da entrega.
• Só especialistas séniores no ataque. Ferramentas próprias e IA aceleram o trabalho repetitivo; a decisão sobre o que explorar e como encadear é humana.
• Transparência comercial. Preço fechado em 24 h, NDA antes do âmbito, reteste incluído e faturação na UE, no Brasil ou nos EUA.
• Relatório para três públicos: administração, equipa de desenvolvimento e auditoria.

O que recebe

• Relatório técnico e sumário executivo (PT, ES ou EN).
• Prova de conceito reproduzível e impacto de negócio de cada achado.
• Severidade justificada (CVSS ajustado ao contexto).
• Reunião de apresentação com a equipa de desenvolvimento.
• Reteste incluído e declaração para clientes e auditorias (ISO 27001, SOC 2, PCI DSS, RGPD, NIS2).

Perguntas frequentes

Leia também

• Quanto custa um teste de intrusão em 2026
• O que é um teste de intrusão e que tipos existem
• Erros de JWT e OAuth
• Checklist para contratar um pentest

Outros serviços