Injeção (SQL, XSS, SSRF)
Endpoints de busca, formulários, parâmetros de URL e cabeçalhos. Mapeamento completo de superfície de ataque.
Vetores que rastreamos
Por onde o seu site cai ou vaza.
Identificamos vetores reais. Não inventamos risco para vender hora. Inventário honesto baseado em OWASP Top 10, CWE/SANS Top 25 e padrões da indústria.
Autenticação fraca
Política de senha, MFA, sessões longas, JWT mal configurado, ausência de rate limiting em login.
Vazamento de dados
S3 público, logs com PII, headers que expõem stack, mensagens de erro verbosas, backup em URL pública.
Plugins & dependências
WordPress, plugins e libs com CVE conhecido. Inventário de dependências e atualização monitorada.
Lógica de negócio
Cupons abusáveis, idempotência ausente em pagamento, manipulação de preço via DevTools, IDOR.
Configuração de servidor
Portas abertas, serviços legados, TLS fraco, falta de WAF, headers ausentes (HSTS, CSP, X-Frame).
DDoS & bots
Saturação de banda, scraping massivo, credential stuffing. Mitigação na camada de borda (Cloudflare).
Continuidade & backup
Estratégia 3-2-1. Backup offsite criptografado, restauração testada periodicamente, RTO/RPO definidos.
Quatro serviços
Frentes de blindagem que entregamos.
Pode ser contratado em conjunto ou separado. Sempre com escopo escrito, NDA e relatório executivo.
Pentest aplicação web
Caixa-preta ou white-box. OWASP Top 10 + lógica de negócio. Relatório com PoC reproduzível e severidade CVSS.
- OWASP Top 10 + lógica
- PoC reproduzível
- Severidade CVSS
- Plano de remediação
Hardening & WAF
Endurecimento do servidor, headers seguros, WAF na borda (Cloudflare), HTTPS forte, rate limiting e proteção contra DDoS.
- HSTS + CSP + X-Frame
- WAF Cloudflare
- Rate limiting
- TLS 1.3
Uptime & alertas 24/7
Monitor de disponibilidade, certificado, performance e integridade de arquivos. Alerta em WhatsApp se cair.
- Uptime 24/7
- SSL watch
- File integrity
- Alertas WhatsApp
Resposta a incidente
Site invadido, conta comprometida, vazamento. SLA < 1h. Contenção, erradicação, recuperação e post-mortem.
- SLA < 1h crítico
- Contenção imediata
- Forense leve
- Post-mortem escrito
Ferramental
O que usamos no dia a dia.
Mix de ferramentas open-source consagradas e plataformas comerciais. Cada uma onde faz sentido.
Burp Suite
OWASP ZAP
Nmap
Nuclei
SQLmap
Wapiti
Cloudflare WAF
Wordfence
Snyk / OSV
Uptime Robot
Nessus
Mozilla Observatory
-
01
Escopo & NDA
Definimos alvos, tipo (caixa-preta / white-box), janela de teste e formato do entregável. NDA assinado antes de qualquer linha.
-
02
Reconhecimento & mapeamento
Inventário de superfície de ataque, tecnologias, endpoints, parâmetros e fluxos de negócio.
-
03
Exploração controlada
Validação manual + ferramental. Cada achado com PoC reproduzível e severidade CVSS. Zero impacto em produção.
-
04
Relatório & remediação
Relatório executivo + técnico, com plano de remediação priorizado. Re-teste após correções está incluso.
Auditoria gratuita
Descubra onde o seu site sangra.
Auditoria de superfície gratuita em 72h. Mostramos os principais vetores expostos. Sem compromisso, com NDA.
Resposta em 72h · NDA antes de qualquer dado sensível