Em 2 a 3 semanas testamos sua plataforma inteira como um atacante faria: seus apps, sua API, sua nuvem e as regras do seu negócio, com cada correção verificada e o dinheiro em jogo.
Pentest manual de até 3 aplicações ou 1 plataforma, API REST ou GraphQL até ~80 endpoints, até 4 perfis, lógica de negócio, isolamento entre clientes e 1 conta de nuvem. Inclui tudo do Dig. Um segundo Lop revisa cada achado.
É urgente? Escreva para a gente e vemos se dá para começar em 72 horas.
É para você se
Sua empresa funciona sobre o próprio software: seus clientes pagam, reservam ou operam dentro. Por exemplo, uma fintech, um SaaS ou um sistema de agendamento.
Você tem vários apps conectados ou uma API (REST ou GraphQL) usada por seus clientes ou outros sistemas.
Você lida com vários tipos de usuário e, se é multi-cliente, os dados de cada cliente devem ficar separados.
Você também quer cobrir sua nuvem e as regras do seu negócio, não só o site.
Um scanner grátis vê se a porta existe. Um Lop testa se ela abre: com contas reais, à mão, e juntando falhas pequenas que sozinhas parecem nada e juntas custam caro.
Scanners automáticos detectam assinaturas conhecidas. Controle de acesso, lógica de sessão e cadeias de falhas só aparecem com testes manuais autenticados. Cada achado é confirmado com prova de conceito e revisado por um segundo Lop.
Até 3Sistemas webAplicações web (OWASP WSTG)
Ninguém entra na conta de outra pessoa: senhas, recuperação de senha e sessões.
Autenticação, recuperação de conta, gestão de sessões e MFA.
Ninguém consegue inserir código ou comandos por um formulário, uma busca ou um endereço web.
Injeção SQL, NoSQL, de comandos e de templates; XSS refletido, armazenado e no DOM.
Ninguém consegue enviar arquivos perigosos disfarçados de foto ou PDF.
Upload de arquivos: tipo, conteúdo, nome, caminho e execução no servidor.
Seu site não pode ser usado para enganar seus visitantes nem para chegar aos seus sistemas internos.
CSRF, redirecionamentos abertos, SSRF, clickjacking e CORS mal configurado.
Arquivos e páginas esquecidos: backups, painéis de teste, versões antigas.
Descoberta de conteúdo: backups, .git e .env expostos, ambientes de teste e endpoints sem link.
Um erro na tela não mostra dados internos, chaves ou código.
Tratamento de erros, stack traces, chaves no código do navegador e vazamento de informação.
Plugins, temas e programas do site com falhas já conhecidas.
Componentes com CVE conhecidas: CMS, plugins, temas e bibliotecas JavaScript.
Os dados dos seus clientes trafegam protegidos e não ficam expostos no navegador.
Cookies (Secure, HttpOnly, SameSite), cabeçalhos de segurança, CSP e dados sensíveis no cliente.
Ninguém consegue testar milhares de senhas ou encher seus formulários com um robô.
Limite de tentativas, enumeração de usuários, captcha e proteção contra automação.
4Tipos de usuárioPerfis
Um usuário não vê os pedidos, faturas ou dados de outro usuário.
Controle de acesso horizontal (IDOR) em telas, downloads, exportações e chamadas internas.
Um usuário comum não chega às funções de administrador.
Escalada vertical de privilégios e funções administrativas sem controle.
O que fica oculto na tela também está fechado por trás.
Autorização validada no servidor, não no navegador; parâmetros e campos ocultos manipulados.
Servidores expostos à internetSuperfície externa: portas e serviços
Tudo o que é seu e está aberto na internet, até o que ninguém lembra.
Descoberta de subdomínios (DNS e logs de certificados), portas e serviços.
Painéis, bancos de dados ou acessos remotos que não deveriam aparecer de fora.
Serviços administrativos expostos: SSH, RDP, bancos de dados, painéis de hospedagem e de CMS.
Programas antigos com falhas que os atacantes já estão usando.
Versões com CVE conhecidas, priorizadas por exploração real (KEV e EPSS).
A conexão segura, o cadeado do navegador, está bem configurada.
TLS: protocolos, cifras, certificados e HSTS.
Ninguém consegue tomar um subdomínio que você deixou de usar.
Subdomain takeover e registros DNS que apontam para serviços desativados.
Ninguém manda e-mail em seu nomeSPF, DKIM e DMARC
Ninguém manda e-mails que pareçam seus para seus clientes ou fornecedores.
SPF, DKIM e DMARC: registros, política e alinhamento.
Seu e-mail trafega criptografado entre servidores.
STARTTLS, MTA-STS e TLS-RPT nos seus servidores de e-mail.
Seu domínio não está em listas negras que mandam seus e-mails para o spam.
Reputação do domínio e dos IPs de envio em listas de bloqueio.
Suas contas do Microsoft 365 ou GoogleConfiguração do M365 ou Workspace (CIS)
Todas as contas têm dois fatores e não sobram portas antigas sem ele.
MFA, acesso condicional e autenticação legada desativada.
Quem é administrador, e quem não deveria mais ser.
Contas privilegiadas, perfis de administração e contas inativas.
Seus documentos não estão compartilhados com qualquer um que tenha o link.
Compartilhamento externo e links públicos no OneDrive, SharePoint ou Drive.
Regras que encaminham seu e-mail para fora e apps com permissão para lê-lo.
Encaminhamento externo, regras de caixa postal e apps de terceiros com permissões OAuth.
Fica registro e dispara um alerta se alguém entrar onde não deve.
Registro de auditoria, alertas e filtros de e-mail, segundo o CIS Benchmark.
Conexões entre sistemasAPIs REST e GraphQL (OWASP API Top 10)
Ninguém usa a API para ver ou mudar dados de outro usuário.
Autorização em nível de objeto e de função (BOLA, BFLA) em cada endpoint.
As permissões e as chaves da API não podem ser roubadas nem reutilizadas.
Autenticação da API, validade e revogação de tokens (JWT, OAuth) e chaves.
A API não devolve nem aceita mais dados do que deve.
Exposição excessiva de dados e atribuição em massa (mass assignment).
Ninguém satura a API nem abusa dos seus limites.
Consumo de recursos e limites de uso sem controle (rate limiting).
Versões antigas e ambientes de teste da API ainda abertos.
Inventário da API: versões obsoletas e endpoints de teste expostos.
Regras do negócio: pagamentos, cupons, limitesLógica de negócio
Ninguém paga menos, duplica um pagamento ou fica com saldo que não é seu.
Manipulação do fluxo de pagamento, de preços e valores do lado do cliente.
Não dá para empilhar cupons nem passar os limites de uma promoção.
Abuso de cupons, acúmulo e limites de promoções e de estoque.
Não dá para pular etapas de um processo, como confirmar um pedido sem pagar.
Saltos de estado e de ordem em processos de várias etapas, condições de corrida incluídas.
Um cliente não vê os dados de outroIsolamento entre clientes (multi-tenant)
Um cliente nunca vê nem toca os dados de outro cliente.
Isolamento de dados entre inquilinos em consultas, exportações e arquivos.
Mudar um identificador não te joga na conta de outra empresa.
Manipulação do identificador de inquilino em tokens, rotas e parâmetros.
Um recurso compartilhado não vaza informação entre clientes.
Vazamentos por caches, filas e armazenamento compartilhados entre inquilinos.
Sua nuvemConfiguração de nuvem (AWS, GCP, Azure)
Não sobram depósitos de arquivos nem bancos de dados abertos na internet.
Buckets, bancos e serviços expostos; criptografia em repouso e em trânsito (CIS).
Quem pode fazer o quê na sua nuvem, e quem tem mais permissões do que precisa.
Permissões de IAM, perfis com excesso de privilégios e chaves de longa duração.
Fica registro do que acontece e as redes ficam separadas.
Registro e trilhas, grupos de segurança e segmentação de rede na nuvem.
As bibliotecas que o seu software usaRevisão de dependências (SCA)
Bibliotecas do seu software com falhas já conhecidas.
Dependências com CVE conhecidas, priorizadas por exploração real (KEV e EPSS).
Componentes sem manutenção ou velhos demais.
Dependências sem suporte, versões travadas e licenças de risco.
Assinamos o que entra, a autorização e quem é o seu contato. Você nos passa uma conta de teste por tipo de usuário.
Combinamos por escrito o escopo, a autorização de testes, a pessoa de contato e 1 conta de teste por perfil (até 4).
2
Dias 1 a 3
Mapa da plataforma
Listamos tudo o que é seu e aparece na internet, seus apps e cada ponto de entrada da sua API.
Superfície externa, inventário de aplicações e enumeração de endpoints da API. Essa é a superfície que vamos testar.
3
Dias 4 a 12
Testes manuais
Procuramos falhas à mão nos seus apps, na sua API, na sua nuvem e nas regras do seu negócio. Se algo for grave, avisamos no mesmo dia.
Testes manuais sobre apps, API (OWASP API Top 10), lógica de negócio, isolamento entre clientes, nuvem (CIS) e dependências (SCA). Aviso no mesmo dia diante de um achado crítico.
4
Dia 13
Verificação
Um segundo Lop revisa cada achado para descartar alarmes falsos.
Um segundo analista reproduz cada achado e descarta falsos positivos antes de reportá-lo.
5
Dias 14 e 15
Relatório e encerramento
Entregamos o relatório e fazemos uma reunião de 30 minutos para repassá-lo.
Entregamos o relatório para a diretoria e o técnico, e encerramos com uma reunião de 30 minutos.
6
Até 6 meses
Retestes
Você corrige, nos avisa e verificamos sem custo, quantas vezes for preciso.
Retestes ilimitados do que foi encontrado durante 6 meses, sem custo.
O que você recebe
Um relatório curto para a diretoria: quanto está em jogo em dinheiro e o que diz a lei do seu país.
Resumo para a diretoria com o impacto econômico e o marco legal do país do cliente.
O detalhe de cada falha, com a cadeia completa quando várias se encadeiam, e como corrigir.
Relatório técnico com cada achado, sua severidade CVSS, as cadeias de exploração e os passos de correção.
Um comprovante de que a auditoria foi feita, para mostrar a clientes ou sócios.
Declaração com assinatura verificável do escopo e da data.
Um painel onde você vê o status de cada correção a qualquer momento.
Painel com o status de cada achado: aberto, em andamento ou verificado.
30 minutos para repassar o relatório e tirar dúvidas.
Reunião de encerramento de 30 minutos com a equipe técnica.
Tudo do Dig: seu site, seu e-mail e suas contas do Microsoft 365 ou Google Workspace.Base completa do Dig: superfície externa, e-mail (SPF, DKIM, DMARC) e configuração do Microsoft 365 ou Google Workspace.
Até 3 aplicações web ou 1 plataforma.Até 3 aplicações web ou 1 plataforma, com OWASP WSTG completo.
1 API com até 80 pontos de entrada.1 API REST ou GraphQL, até ~80 endpoints (OWASP API Top 10).
Até 4 tipos de usuário.Até 4 perfis, com testes de controle de acesso entre todos.
As regras do seu negócio e, se você é multi-cliente, a separação entre clientes.Lógica de negócio e isolamento entre clientes (multi-tenant).
1 conta de nuvem e as bibliotecas que o seu software usa.1 conta de nuvem (AWS, GCP ou Azure) com CIS e revisão de dependências (SCA).
Não inclui
A rede dos seus escritórios e seus sistemas internos. Entram no Warren.Rede interna e Active Directory. Fora do escopo: isso é Warren.
Apps móveis. São um módulo à parte.Apps móveis (OWASP MASVS). Módulo independente.
Testes que possam derrubar o seu serviço. Nunca fazemos.Negação de serviço e qualquer teste destrutivo. Fora do escopo.
Os servidores da empresa que hospeda sua plataforma. Testamos sua plataforma e sua configuração, não a do provedor.Infraestrutura de terceiros: hospedagem e SaaS gerenciados. Só a plataforma e a configuração do cliente.
Se a sua plataforma passar desses limites, fechamos um orçamento antes de assinar. Sem surpresas.
Perguntas antes de contratar
Quanto tempo leva e quando começamos?
Entre 2 e 3 semanas. Começamos na semana seguinte à assinatura. Se for urgente, escreva para a gente e vemos se dá para começar em 72 horas.
Tenho uma API e vários apps. Entram todos?
Entram até 3 aplicações ou 1 plataforma e 1 API de até 80 pontos de entrada. Se você tiver mais, medimos no diagnóstico e fechamos um orçamento antes de assinar.
E se vocês encontrarem algo grave no meio do caminho?
Avisamos no mesmo dia. Não esperamos o relatório para contar um problema crítico.
Quer ver sua plataforma como um atacante vê?
Uma auditoria, 2 a 3 semanas, cada correção verificada por 6 meses. Reservamos o início na semana seguinte à assinatura.
