Um scanner grátis vê se a porta existe. Um Lop testa se ela abre: com contas reais, à mão, e juntando falhas pequenas que sozinhas parecem nada e juntas custam caro.
Scanners automáticos detectam assinaturas conhecidas. Controle de acesso, lógica de sessão e cadeias de falhas só aparecem com testes manuais autenticados. Cada achado é confirmado com prova de conceito e revisado por um segundo Lop.
1Sistemas webAplicações web (OWASP WSTG)
Ninguém entra na conta de outra pessoa: senhas, recuperação de senha e sessões.
Autenticação, recuperação de conta, gestão de sessões e MFA.
Ninguém consegue inserir código ou comandos por um formulário, uma busca ou um endereço web.
Injeção SQL, NoSQL, de comandos e de templates; XSS refletido, armazenado e no DOM.
Ninguém consegue enviar arquivos perigosos disfarçados de foto ou PDF.
Upload de arquivos: tipo, conteúdo, nome, caminho e execução no servidor.
Seu site não pode ser usado para enganar seus visitantes nem para chegar aos seus sistemas internos.
CSRF, redirecionamentos abertos, SSRF, clickjacking e CORS mal configurado.
Arquivos e páginas esquecidos: backups, painéis de teste, versões antigas.
Descoberta de conteúdo: backups, .git e .env expostos, ambientes de teste e endpoints sem link.
Um erro na tela não mostra dados internos, chaves ou código.
Tratamento de erros, stack traces, chaves no código do navegador e vazamento de informação.
Plugins, temas e programas do site com falhas já conhecidas.
Componentes com CVE conhecidas: CMS, plugins, temas e bibliotecas JavaScript.
Os dados dos seus clientes trafegam protegidos e não ficam expostos no navegador.
Cookies (Secure, HttpOnly, SameSite), cabeçalhos de segurança, CSP e dados sensíveis no cliente.
Ninguém consegue testar milhares de senhas ou encher seus formulários com um robô.
Limite de tentativas, enumeração de usuários, captcha e proteção contra automação.
2Tipos de usuárioPerfis
Um usuário não vê os pedidos, faturas ou dados de outro usuário.
Controle de acesso horizontal (IDOR) em telas, downloads, exportações e chamadas internas.
Um usuário comum não chega às funções de administrador.
Escalada vertical de privilégios e funções administrativas sem controle.
O que fica oculto na tela também está fechado por trás.
Autorização validada no servidor, não no navegador; parâmetros e campos ocultos manipulados.
Servidores expostos à internetSuperfície externa: portas e serviços
Tudo o que é seu e está aberto na internet, até o que ninguém lembra.
Descoberta de subdomínios (DNS e logs de certificados), portas e serviços.
Painéis, bancos de dados ou acessos remotos que não deveriam aparecer de fora.
Serviços administrativos expostos: SSH, RDP, bancos de dados, painéis de hospedagem e de CMS.
Programas antigos com falhas que os atacantes já estão usando.
Versões com CVE conhecidas, priorizadas por exploração real (KEV e EPSS).
A conexão segura, o cadeado do navegador, está bem configurada.
TLS: protocolos, cifras, certificados e HSTS.
Ninguém consegue tomar um subdomínio que você deixou de usar.
Subdomain takeover e registros DNS que apontam para serviços desativados.
Ninguém manda e-mail em seu nomeSPF, DKIM e DMARC
Ninguém manda e-mails que pareçam seus para seus clientes ou fornecedores.
SPF, DKIM e DMARC: registros, política e alinhamento.
Seu e-mail trafega criptografado entre servidores.
STARTTLS, MTA-STS e TLS-RPT nos seus servidores de e-mail.
Seu domínio não está em listas negras que mandam seus e-mails para o spam.
Reputação do domínio e dos IPs de envio em listas de bloqueio.
Suas contas do Microsoft 365 ou GoogleConfiguração do M365 ou Workspace (CIS)
Todas as contas têm dois fatores e não sobram portas antigas sem ele.
MFA, acesso condicional e autenticação legada desativada.
Quem é administrador, e quem não deveria mais ser.
Contas privilegiadas, perfis de administração e contas inativas.
Seus documentos não estão compartilhados com qualquer um que tenha o link.
Compartilhamento externo e links públicos no OneDrive, SharePoint ou Drive.
Regras que encaminham seu e-mail para fora e apps com permissão para lê-lo.
Encaminhamento externo, regras de caixa postal e apps de terceiros com permissões OAuth.
Fica registro e dispara um alerta se alguém entrar onde não deve.
Registro de auditoria, alertas e filtros de e-mail, segundo o CIS Benchmark.
1 aplicação web com até 2 tipos de usuário.1 aplicação web com até 2 perfis de usuário.
Até 10 servidores ou subdomínios.Até 10 hosts ou subdomínios.
1 domínio de e-mail.1 domínio de e-mail, com revisão de SPF, DKIM e DMARC.
1 conta do Microsoft 365 ou Google Workspace, sem limite de usuários.Revisão de configuração de 1 conta do Microsoft 365 ou Google Workspace, sem limite de usuários.
Não inclui
Apps móveis e a rede do escritório. Entram em módulos ou no Warren.Apps móveis e rede interna. Módulos à parte ou Warren.
Testes que possam derrubar o seu serviço. Nunca fazemos.Negação de serviço e qualquer teste destrutivo. Fora do escopo.
Simulação de phishing com a sua equipe. É um módulo à parte.Simulação de phishing. Módulo independente.
Os servidores da empresa que hospeda seu site ou sua loja. Testamos seu site e sua configuração, não a plataforma do provedor.Infraestrutura de terceiros: hospedagem, plataformas de e-commerce e SaaS. Só o site e a configuração do cliente.
Se o seu sistema passar desses limites, fechamos um orçamento antes de assinar. Sem surpresas.
Perguntas antes de contratar
Quanto tempo leva e quando começamos?
Entre 1 e 2 semanas. Começamos na semana seguinte à assinatura. Se for urgente, escreva para a gente e vemos se dá para começar em 72 horas.
E se vocês encontrarem algo grave no meio do caminho?
Avisamos no mesmo dia. Não esperamos o relatório para contar um problema crítico.
Meu site está em uma hospedagem ou em uma plataforma de lojas. Vocês revisam também?
Sim. Revisamos seu site, suas contas e sua configuração dentro da plataforma. Os servidores do provedor ficam de fora: são deles e não temos permissão para testá-los.
Quer ver seu site como um atacante vê?
Uma auditoria, até 2 semanas, cada correção verificada. Reservamos o início na semana seguinte à assinatura.
