Descubra as falhas de segurança do seu app antes que alguém explore
Teste de intrusão self-service para apps, sites e sistemas — feitos com ou sem Inteligência Artificial. Peça, acompanhe e receba um relatório assinado digitalmente.
Teste grátis do seu site
Nota de 0 a 100 ao vivo, em cerca de um minuto. Só testamos domínios que você comprova controlar.
O que você recebe
Um laudo que você pode mostrar a quem pedir.
Escalação de privilégio vertical — painel admin acessível sem autenticação
Relatório assinado digitalmente com GNU Privacy Guard (GPG).
Carimbo de tempo RFC 3161 (Request for Comments 3161) e relatório de atestação verificável por qualquer pessoa.
É assim que cada achado chega ao seu relatório. Os dados do alvo e as evidências de cada cliente ficam de fora deste exemplo.
O que o teste grátis verifica
Só leitura: o que um navegador e um servidor de e-mail já enxergam.
- Conexão segura
- HTTPS (HTTP Secure), redirecionamento do HTTP e versões obsoletas do TLS (Transport Layer Security).
- Cabeçalhos de proteção
- HSTS (HTTP Strict Transport Security), CSP (Content Security Policy) e proteção contra clickjacking.
- Cookies de sessão
- Atributos Secure, HttpOnly e SameSite.
- Arquivos expostos
- Repositório Git, arquivo .env e backups de banco de dados, sempre com o conteúdo validado.
- Divulgação de versão
- Nome e versão do servidor nos cabeçalhos de resposta.
- E-mail do domínio
- SPF (Sender Policy Framework) e DMARC (Domain-based Message Authentication, Reporting and Conformance).
É uma verificação básica e automática. O que ela não alcança, o pentest (teste de intrusão) completo cobre.
Escolha o serviço
O teste grátis mostra o básico. Os planos pagos cobrem o resto.
Personal
Para quem criou um app, site ou sistema (com ou sem Inteligência Artificial)
Entrega automática · self-service
Personal Check
R$ 197,00Recon externo + Open Worldwide Application Security Project (OWASP) Top 10 não-invasivo + Nuclei + OWASP Zed Attack Proxy (ZAP) passivo. Entrega automática.
Quem lançou um app ou site e quer uma checagem externa rápida.
ComeçarPersonal Plus
R$ 347,00Tudo do Personal Check + 1 re-teste em até 30 dias após você corrigir os achados.
Quem vai corrigir os achados e quer confirmar que a correção funcionou.
ComeçarBusiness
Para empresas que precisam de um laudo com peso
Perito de segurança revisa e assina · testes invasivos autorizados · conformidade com a Lei Geral de Proteção de Dados (LGPD), a ISO/IEC 27001 (norma internacional de gestão de segurança da informação) e o PCI DSS (Payment Card Industry Data Security Standard).
Business Suite
ConsulteSuíte externa completa + testes invasivos autorizados + conformidade. Revisão e assinatura de perito.
Empresas que precisam de laudo assinado por perito e de testes invasivos autorizados.
Business Suite + Código
ConsulteBusiness Suite + análise estática do código-fonte (SAST) + auditoria de dependências (SCA).
Empresas que também precisam de análise do código-fonte e das dependências.
Abaixo dos R$ 20.000–40.000 de um pentest de mercado.
Como funciona
Da verificação do domínio ao relatório.
- Verificação de domínioVocê publica um código no seu domínio para provar que ele é seu.
- ContratoAssinatura digital do termo que autoriza os testes.
- PagamentoSó depois dele os testes começam.
- TestesRodam em segundo plano; você acompanha o andamento no painel.
- RelatórioPDF assinado digitalmente, com cada achado e a orientação de correção.
No Business, há ainda a revisão pericial antes da entrega.
O que é testado nos planos pagos
Escopo completo e limitações no documento de escopo.
- Open Worldwide Application Security Project (OWASP) Top 10, os dez riscos mais comuns de aplicações web.
- Static Application Security Testing (SAST), a análise estática do código-fonte (no plano com código).
- Software Composition Analysis (SCA), a auditoria das dependências (no plano com código).
- Nuclei, varredura de vulnerabilidades conhecidas.
- OWASP Zed Attack Proxy (ZAP), varredura de aplicações web.
Por que confiar
O que fazemos antes, durante e depois dos testes.
- Relatório assinado com GNU Privacy Guard (GPG), carimbo de tempo RFC 3161 (Request for Comments 3161) e um relatório de atestação que qualquer pessoa pode verificar.
- Verificação de propriedade do domínio antes de qualquer teste — por registro Domain Name System (DNS) do tipo TXT ou meta tag.
- Termo de Autorização assinado via Clicksign antes de qualquer teste.
- Tratamento de dados conforme a Lei Geral de Proteção de Dados (LGPD).
- No Business, o perito de segurança que revisa e assina é nomeado no laudo.
- Sem depoimentos, logos ou números inventados nesta página — só o que entregamos.
Perguntas frequentes (FAQ)
Não achou a sua? Escreva para nós.
O que é um teste de intrusão (pentest)?
É uma auditoria em que tentamos, de forma controlada e autorizada, encontrar e explorar falhas de segurança no seu app ou site — do jeito que um atacante real tentaria — e entregamos um relatório com o que foi encontrado e como corrigir.
Quanto tempo leva?
Os planos Personal são entregues em horas, de forma automática. O Business leva de 1 a 5 dias úteis, porque inclui testes invasivos autorizados e a revisão de um perito antes da entrega.
Preciso provar que o domínio é meu?
Sim. Antes de qualquer teste você confirma a propriedade do domínio publicando um registro Domain Name System (DNS) do tipo TXT ou uma meta tag que fornecemos. Sem isso, o pedido não avança.
O que eu recebo no final?
Um relatório em PDF (Portable Document Format) assinado digitalmente, com cada achado classificado por severidade e com a orientação de correção, mais o relatório de atestação para comprovar a integridade do documento.
É seguro? Está autorizado?
Só começamos após o Termo de Autorização assinado (via Clicksign) e a verificação do domínio. Não executamos testes destrutivos em produção; testes invasivos só no Business e apenas com autorização explícita.
Posso testar um ambiente de staging?
Sim. Você indica o alvo no pedido — pode ser um ambiente de staging ou homologação, desde que o domínio seja seu e esteja no Termo de Autorização.
Falar com um especialista
Em dúvida sobre qual serviço serve para o seu caso? Escreva e a gente responde.