Pentest: encontre suas falhas antes que um atacante encontre.
Testes de intrusão em aplicações web, APIs, mobile, cloud, redes e sistemas com IA. Simulamos um atacante de verdade e entregamos as falhas com evidências e o caminho para corrigi-las.
O que testamos
Escolha o ambiente que mais preocupa a sua empresa. Cada escopo tem técnicas próprias, e podemos combinar vários em um único projeto.
Web
Aplicações web seguindo OWASP. SQLi, XSS, IDOR e lógica de negócio.
APIs
REST e GraphQL. Autenticação, autorização e rate limiting.
Mobile
iOS e Android. Análise estática, dinâmica e armazenamento local.
AI/LLM
Prompt injection, jailbreak, vazamento de dados e bypass de guardrails.
Cloud
AWS, Azure e GCP. Configurações IAM, exposição e secrets.
Rede externa
Perímetro exposto. Serviços públicos, exposição e fingerprinting.
Rede interna
Active Directory, movimentação lateral e escalação de privilégios.
IoT
Firmware, comunicação, APIs de gerenciamento e hardening físico.
Como trabalhamos
Um processo simples e transparente, do primeiro contato ao relatório.
- 01
Escopo e regras
Definimos juntos o que será testado, as janelas de teste e os limites, para reduzir qualquer impacto na operação.
- 02
Reconhecimento e testes
Mapeamos a superfície de ataque e testamos como um atacante faria, do acesso externo à movimentação interna.
- 03
Validação dos achados
Cada falha é validada e documentada com evidências, sem lista de alertas automáticos sem confirmação.
- 04
Relatório e recomendações
Você recebe os achados priorizados por risco, com orientação prática de correção.
Por que fazer um pentest
Ferramentas automáticas listam possíveis falhas. Um pentest mostra o que de fato pode ser explorado e qual o impacto para o seu negócio.
- Falhas reais, não ruído. Cada achado é validado, o que ajuda o seu time a priorizar.
- Lógica de negócio. Falhas de autorização e de fluxo, como IDOR, que scanners costumam não encontrar.
- Visão de atacante. Do acesso externo à movimentação lateral e à escalação de privilégios.
- Evidência de diligência. Um relatório técnico ajuda a demonstrar cuidado com segurança, inclusive em requisitos como a LGPD.
Perguntas frequentes
As dúvidas mais comuns antes de contratar um pentest.
O que é um pentest?
É um teste de intrusão autorizado: especialistas simulam as técnicas de um atacante para encontrar e demonstrar falhas reais em aplicações, redes e sistemas antes que sejam exploradas.
Qual a diferença entre pentest e scan de vulnerabilidades?
O scan de vulnerabilidades roda verificações automáticas e lista possíveis falhas. O pentest vai além: um profissional valida, encadeia e explora falhas para mostrar o impacto real, inclusive falhas de lógica de negócio que ferramentas não enxergam.
Que tipos de ambiente vocês testam?
Aplicações web, APIs (REST e GraphQL), aplicativos mobile (iOS e Android), sistemas com IA e LLM, ambientes cloud (AWS, Azure e GCP), redes externas e internas, incluindo Active Directory, e dispositivos IoT.
O pentest pode ser feito em ambiente de produção?
É possível, desde que o escopo, os horários e as regras de engajamento sejam combinados antes, para reduzir o risco de impacto. Também podemos testar em homologação, quando ela for fiel à produção.
Com que frequência devo fazer um pentest?
Depende do risco e das exigências do seu setor. Em geral, vale testar periodicamente e sempre que houver mudanças relevantes, como novos sistemas, integrações ou migração de infraestrutura.
O que eu recebo no final?
Um relatório com as falhas encontradas, as evidências, a classificação por risco e as recomendações de correção, para o seu time priorizar o que resolver primeiro.
Vocês atendem empresas de qualquer lugar do Brasil?
Sim. O atendimento da VulnSec é nacional.
Veja também
Os outros serviços da VulnSec, da ofensiva à defesa.
Vamos testar o seu ambiente?
Conte o que você quer proteger e a gente retorna com a proposta de escopo.
Ou volte para a página inicial.