Método de auditoria de segurança: 6 etapas, 16 técnicas
Cada etapa tem critério de saída escrito. Cada falha sai com prova, correção recomendada e um teste que impede o retorno. E quem corrige nunca é quem verifica.
Seis etapas. Nenhuma fecha sem evidência.
Cada etapa tem critério de saída escrito. A auditoria completa percorre 17 fases técnicas e revisa à mão cada ponto sensível.
Evidência em cada achado
Nada é aprovado sem saída de ferramenta, requisição ou trecho de código. Descartes são justificados por escrito.
Quem corrige não verifica
Um revisor que não participou da correção confirma cada item antes de fechar.
Nada destrutivo, nada fora do escopo
Testes ativos só em staging, com dados fictícios. Segredos encontrados são mascarados e revogados.
Tabela de pacientes legível sem login pela chave pública do banco
- 01
Escopo e autorização
Termo assinado com sistemas, ambientes e limites.
- 02
Inventário
Rotas, endpoints, dados sensíveis e o que o build revela.
- 03
Análise do código
Segredos, dependências, análise estática e revisão manual.
- 04
Testes em staging
Acesso, autenticação, configuração, dados e API.
- 05
Correção pelo seu time
Na causa, guiada pela ficha e por um teste que falhava antes e passa depois.
- 06
Verificação e relatório
Revisor independente reproduz, confirma e assina.
OWASP completo, e muito além dele
16 técnicas de análise e mais de 19 ferramentas de mercado. Cada categoria do OWASP é testada por pelo menos duas técnicas diferentes.
Modelagem de ameaças
STRIDE em cada fluxo crítico, com casos de abuso priorizados.
Análise estática
Três motores complementares mais regras próprias para React, Vite e Supabase.
Fluxo de dados
Cada entrada rastreada até tela, banco, URL ou log, entre arquivos.
Revisão manual
Pontos em que o framework deixa de proteger, revisados um a um.
Varredura de segredos
Histórico do git, diretório e build, com checagem de chave ativa.
Dependências
Vulnerabilidades conhecidas, confirmando se a função afetada é usada.
Cadeia de suprimentos
Lockfile, origem dos pacotes, scripts de instalação e inventário.
Build publicado
O pacote do navegador visto como um atacante: chaves, rotas e source maps.
Controle de acesso
Matriz de papéis, recursos e ações com usuários de cada perfil.
Testes dinâmicos
Varredura autenticada da aplicação em execução, em staging.
Contrato de API
Milhares de requisições geradas a partir da especificação.
Configuração e criptografia
Cabeçalhos, CSP, CORS, TLS e dados sensíveis pela LGPD.
CI/CD
Permissões mínimas, ações fixadas e segredos fora dos logs.
Containers e IaC
Imagens, usuário não administrador, Terraform e Kubernetes.
Erros e alertas
Falhas sem detalhe interno, acesso negado por padrão e alerta disparando.
Modelos de linguagem
Injeção de instruções, vazamento entre clientes e limite de custo.
O que nunca fazemos
Agressivo na cobertura, não nos sistemas. Nenhuma superfície fica de fora; nada fora do escopo é tocado.
- Escopo escrito primeiroNenhum teste ativo começa sem o termo de escopo e autorização assinado pelo responsável.
- Só staging ou localTestes ativos só em ambientes de teste. Em produção, só leitura passiva e com autorização registrada.
- Só dados de testeNunca copiamos dados reais de clientes ou pacientes para fora do ambiente.
- Segredos mascarados e revogadosChave encontrada aparece mascarada no relatório, é tratada como crítica e orientamos a revogação.
- Nada destrutivoSem DROP, sem DELETE em massa, sem carga que derrube o serviço.
- Sem aprovação silenciosaSe uma ferramenta falha, a falha é registrada. Nenhum item vira "OK" sem evidência.
Como cada falha é classificada
CVSS v4 apoia a nota; o contexto do negócio pode elevá-la. Dado de saúde, por exemplo, é sensível pela LGPD.
| Severidade | Critério | Prazo de correção recomendado |
|---|---|---|
| Crítica | Exploração remota sem login, vazamento de dados sensíveis, segredo de produção exposto, tomada de conta | Antes de qualquer deploy |
| Alta | Acesso a dados de outro usuário, escalada de privilégio, XSS armazenado, SSRF | Até 3 dias |
| Média | XSS refletido com mitigação parcial, CSP fraca, falta de limite de tentativas, dependência vulnerável alcançável | Até 2 semanas |
| Baixa | Vazamento de informação técnica, cabeçalho ausente sem exploração direta | Próximo ciclo |
Sobre o método
Quantas fases tem a auditoria?+
Seis etapas para o cliente acompanhar, que se desdobram em 17 fases técnicas na Auditoria Completa: do escopo à verificação independente.
Quem verifica a correção?+
Um revisor que não participou da correção reproduz a falha, confirma que o teste de regressão existe e cobre o caso, e só então marca como verificada.
Como vocês descartam falsos positivos?+
Por escrito: cada descarte diz por que o achado não é explorável e aponta o trecho de código que prova isso. "Parece seguro" não é justificativa.
Fale com um especialista em segurança
Agende uma conversa com o time. Sem formulário e sem espera: você escolhe o horário e chega com as suas dúvidas.
- Escopo e preço antes de qualquer compromisso
- Acordo de confidencialidade desde a primeira conversa
- Atendimento em todo o Brasil
- 01Escolha um horário
Direto na agenda do time de negócios, no dia que for melhor para você.
- 02Conte o que precisa avaliar
Sistema, tecnologias, ambientes e o que mais preocupa hoje.
- 03Receba a proposta
Escopo, prazo e preço em até um dia útil depois da conversa.
Abre a agenda em uma nova aba.