Pentest web: encontre as falhas da sua aplicação antes de um atacante
Portais de cliente, sistemas internos, e-commerce e plataformas SaaS concentram dados, pagamentos e acessos. É por isso que a aplicação web costuma ser a primeira porta testada por quem ataca. O pentest web da LC Sec simula esse ataque de forma controlada, mostra o que um invasor conseguiria fazer e acompanha o seu time até a correção.
Análise humana, não só scanner
O scanner aponta falhas conhecidas. O especialista confirma o que é explorável, encadeia uma falha na outra e encontra problemas de lógica de negócio que nenhuma ferramenta enxerga sozinha.
Metodologia OWASP auditável
Cada achado é ligado à categoria do OWASP Top 10, verificado contra o ASVS e classificado em CVSS v3.1. O resultado é comparável e serve de evidência para auditorias e clientes.
Correção acompanhada e reteste
Plano de correção priorizado, reunião com o time de desenvolvimento e 1 reteste completo gratuito em até 90 dias, com carta de reteste.
O que é pentest web e o que testamos na sua aplicação
Pentest web, ou teste de intrusão em aplicações web, é uma avaliação feita por especialistas que tentam explorar a sua aplicação como um atacante faria: entrar sem permissão, acessar dados de outro cliente, mudar valores, escalar privilégios ou derrubar controles de segurança.
A diferença para uma varredura automática é a análise humana. O scanner aponta falhas conhecidas; o pentest confirma se elas são exploráveis, encadeia uma falha na outra e encontra problemas de lógica de negócio. Entenda a diferença em detalhe no artigo pentest x varredura de vulnerabilidades. O que testamos:
- Autenticação e sessão: login, recuperação de senha, MFA, tokens e tempo de sessão
- Controle de acesso: se um usuário consegue ver ou alterar dados de outro, inclusive entre empresas diferentes em sistemas multi-tenant
- Validação de entrada: injeção de SQL e de comandos, XSS, upload de arquivos e manipulação de parâmetros
- Lógica de negócio: fluxos de compra, aprovação, desconto, limite e cadastro usados de um jeito que o sistema não previa
- Configuração e exposição: cabeçalhos de segurança, mensagens de erro, arquivos expostos e componentes desatualizados
- Proteção de dados: criptografia em trânsito, dados sensíveis em respostas e registro de impacto para a LGPD
Blackbox, greybox ou whitebox
A modalidade define quanta informação a equipe recebe antes do teste. Ajudamos a escolher a que responde melhor ao seu objetivo.
Sem nenhuma informação prévia, como um atacante externo. Bom para validar o que está exposto na internet.
Com usuários de teste de cada perfil. É o melhor custo-benefício para a maioria das aplicações, porque testa o que um cliente logado conseguiria fazer.
Com documentação e acesso amplo. Indicado para sistemas críticos e lançamentos.
Quando faz sentido, as duas frentes rodam ao mesmo tempo, cada uma com o seu relatório técnico.
OWASP como base, resultado comparável e auditável
O pentest web da LC Sec segue referenciais públicos. A tabela mostra como cada um aparece no trabalho e no relatório.
| Referencial | Como aparece no pentest web |
|---|---|
| OWASP Top 10 (2025) | Cada achado é ligado à categoria de risco correspondente. |
| OWASP ASVS | Verificação de controles no nível L2, com autenticação, sessão e controle de acesso no nível L3. |
| OWASP WSTG | Roteiro dos testes manuais, etapa por etapa. |
| CVSS v3.1 | Classificação de severidade, para corrigir primeiro o que tem mais risco. |
Quando fazer um pentest web
Os momentos em que o teste mais protege o negócio:
- Antes de lançar um sistema, portal ou funcionalidade importante
- Depois de mudanças grandes no código, na autenticação ou na infraestrutura
- Quando um cliente, investidor ou auditoria pede evidência de teste (ISO 27001, PCI DSS, SOC 2, Resolução CMN 4.893, alterada pela CMN 5.274/2025, e Resolução BCB 538/2025)
- Pelo menos uma vez por ano em aplicações que tratam dados pessoais ou pagamentos
Do escopo ao reteste
Um ciclo com regras combinadas por escrito, testes manuais e acompanhamento até a correção.
Definimos URLs, perfis de usuário, ambiente (produção ou homologação) e janelas de teste.
Mapeamos páginas, funções, tecnologias e pontos de entrada. Depois vêm os testes manuais e automatizados: o scanner apoia, a análise é humana.
Sem destruir dados e dentro das regras combinadas, confirmamos o que é explorável e o impacto de cada falha.
Sumário executivo, achados com evidência e plano de correção, apresentados ao seu time. Depois, 1 reteste completo gratuito em até 90 dias, com carta de reteste.
O que você recebe
Documentação pensada para quem corrige e para quem audita:
- Sumário executivo para a diretoria
- Lista de vulnerabilidades com severidade CVSS, categoria OWASP e passo a passo para reproduzir
- Plano de correção priorizado por risco e esforço
- Reunião de apresentação com o time de desenvolvimento
- Carta de reteste, o documento que auditores e clientes costumam pedir
Quem conduz o pentest web
O pentest é conduzido sob responsabilidade de Luiz Lopes, fundador da LC Sec, com 12 anos de experiência em segurança em ambientes críticos dos setores financeiro, saúde e tecnologia.
- Empresa brasileira de cibersegurança com sede em São Paulo e atuação em todo o Brasil
- Metodologia nomeada: OWASP Top 10, ASVS e WSTG, com severidade em CVSS v3.1
- Relatório alinhado a ISO 27001, PCI DSS e CIS Controls
- 1 reteste completo gratuito em até 90 dias após o relatório, com carta de reteste
Pronto para testar a sua aplicação?
Conte para a gente o que a sua aplicação faz e quem usa. Um especialista da LC Sec responde com a proposta de escopo.
Conte o que a sua aplicação faz
Deixe seus dados e um especialista da LC Sec entra em contato para entender a aplicação, os perfis de usuário e o objetivo do teste, e enviar a proposta de escopo.
Alertas de cibersegurança direto no Telegram
Vazamentos, vulnerabilidades críticas e tendências, com curadoria diária da nossa equipe de threat intel. Entre no canal oficial e fique à frente das ameaças.
Perguntas frequentes (FAQ)
1 – Qual a diferença entre pentest web e varredura de vulnerabilidades?+
A varredura é automática e lista falhas conhecidas. O pentest web é manual, confirma o que é explorável e encontra falhas de lógica que ferramentas não pegam.
2 – O teste pode derrubar a minha aplicação?+
Os testes são controlados e não destrutivos. Testes mais pesados só acontecem com autorização e em janela combinada, de preferência em homologação.
3 – Quanto tempo leva?+
O prazo depende do escopo: tamanho da aplicação, número de perfis de usuário e modalidade. Ele é definido na proposta, depois da conversa de escopo.
4 – Preciso dar acesso ao código-fonte?+
Não. Só no modelo whitebox, e só se fizer sentido para o objetivo do teste.
5 – O reteste está incluído?+
Sim. 1 reteste completo gratuito em até 90 dias após o relatório, com carta de reteste.
6 – Quanto custa um pentest web?+
O valor depende do tamanho da aplicação, do número de perfis de usuário e da modalidade (blackbox, greybox ou whitebox). A LC Sec monta a proposta depois de uma conversa de escopo. As faixas de mercado estão no artigo quanto custa um pentest em 2026, no blog da LC Sec.