Salak Security
Ver relatórioFalar com especialista
Soluções

Pentest de sites e aplicações web

O que o seu build publicado revela para quem olha. Cada falha com prova, correção recomendada e teste que impede o retorno.

Avaliar meu sistemaVer relatório de exemplo

Uma aplicação web publicada entrega ao navegador muito mais do que telas: rotas, nomes de endpoints, regras de validação e, às vezes, segredos. O pentest começa por aí e segue o caminho de cada dado que o usuário digita até onde ele é gravado, exibido ou enviado.

Os testes ativos acontecem em staging, com usuários de cada perfil. Em produção, só leitura passiva, como cabeçalhos, TLS e o pacote público.

O que testamos

10 verificações, cada uma com prova

Nenhum item é aprovado sem evidência: saída de ferramenta, requisição ou trecho de código.

  • InjeçãoSQL, comandos, templates e XSS, com cada entrada rastreada até o destino.
  • Controle de acessoMatriz de papéis testada com usuários reais de cada perfil, incluindo acesso a dados de outro cliente.
  • Sessão e cookiesExpiração, invalidação no logout, atributos HttpOnly, Secure e SameSite.
  • Reset de senha e cadastroTokens previsíveis, links que não expiram, enumeração de usuários.
  • Build publicadoSource maps, variáveis de ambiente, rotas escondidas e comentários no pacote do navegador.
  • Cabeçalhos e CSPContent-Security-Policy, HSTS, X-Frame-Options, CORS e configuração de TLS.
  • Upload de arquivosTipo, tamanho, nome e onde o arquivo fica acessível depois.
  • DependênciasVulnerabilidades conhecidas, confirmando se a função afetada é de fato usada.
  • Segredos no históricoChaves e senhas que já passaram pelo git, mesmo se removidas depois.
  • Erros e logsMensagens que vazam detalhe interno e ataques que não geram alerta.
Exemplo de achado

Assim chega cada falha no relatório

Severidade, categoria OWASP e CWE, o caminho que o dado percorre até vazar, o impacto no negócio e a correção recomendada. O exemplo é fictício; o formato é o que você recebe.

Ver o relatório completo →
MédiaSEC-007 · exemploA02 · CWE-540

Source maps publicados expõem o código-fonte completo do front-end

  1. 01GET /assets/index-4f9a.js
  2. 02Comentário sourceMappingURL no fim
  3. 03GET /assets/index-4f9a.js.map
  4. 04200 OK · código original com comentários
Impacto
O código com nomes, comentários e rotas internas fica legível, o que acelera qualquer outro ataque.
Correção recomendada
Desligar source maps no build de produção ou enviá-los só ao serviço de monitoramento, e um teste no CI que falha se houver .map em dist.
Como funciona

Quatro passos, nenhum sem evidência

Ver o método completo →
  1. 01

    Escopo e autorização

    Termo assinado com sistemas, ambientes e limites, antes de qualquer teste.

  2. 02

    Inventário e testes

    Rotas, dados sensíveis e testes em staging com cada perfil de usuário.

  3. 03

    Correção pelo seu time

    Cada falha com correção recomendada e teste de regressão.

  4. 04

    Verificação independente

    Quem não participou reproduz, confirma e assina.

Oferta recomendada

Auditoria Completa

A Auditoria Completa cobre código, dependências, segredos e testes em staging com cada perfil, com teste de regressão por falha. 8 dias úteis.

a partir de, por aplicaçãoR$ 22.300até 8 dias úteisVer a oferta
Perguntas

Sobre sites e aplicações web

A correção é feita pelo seu time, com a correção recomendada e o teste de regressão que entregamos. Apoio na implementação é orçado à parte.

Vocês testam em produção?

Não. Testes ativos acontecem só em staging ou local. Em produção fazemos leitura passiva (cabeçalhos, TLS, pacote público) e só com autorização registrada no termo de escopo.

Qual a diferença para um scanner automático?

O scanner encontra padrões conhecidos. A auditoria testa as regras do seu negócio: quem pode ver o quê, o que acontece com outro ID, outro valor ou fora de ordem. Cada achado vem com prova, não com probabilidade.

Quanto tempo leva?

A Auditoria Completa de uma aplicação média é entregue em até 8 dias úteis.

Cobre o OWASP Top 10?

Sim, as 10 categorias do OWASP Top 10:2025, cada uma testada por pelo menos duas técnicas diferentes.

Guias relacionados
Guia · 10 minOWASP Top 10:2025 explicadoAs 10 categorias, o que mudou desde 2021 e um exemplo real de cada uma.Ler o guia →Guia · 7 minChave de API exposta no frontendQual chave pode ser pública, qual nunca pode, como achar no bundle e por que revogar.Ler o guia →
Contato comercial

Fale com um especialista em segurança

Agende uma conversa com o time. Sem formulário e sem espera: você escolhe o horário e chega com as suas dúvidas.

  • Escopo e preço antes de qualquer compromisso
  • Acordo de confidencialidade desde a primeira conversa
  • Atendimento em todo o Brasil
Conversa com especialistaTime de negócios · Salak Security
  1. 01Escolha um horário

    Direto na agenda do time de negócios, no dia que for melhor para você.

  2. 02Conte o que precisa avaliar

    Sistema, tecnologias, ambientes e o que mais preocupa hoje.

  3. 03Receba a proposta

    Escopo, prazo e preço em até um dia útil depois da conversa.

Escolher horário na agenda

Abre a agenda em uma nova aba.