Perguntas frequentes

Sim. Além dos fluxos tradicionais, avaliamos respostas, contexto e limites de produtos que usam IA — sempre com critérios claros e validação humana dos resultados.

Trabalhamos apenas com autorização explícita. Antes de começar, definimos por escrito os ativos, as técnicas e os limites do escopo. Entregamos evidências e recomendações priorizadas, sem realizar testes fora do escopo aprovado.

Não necessariamente. Atuamos em caixa-preta (sem acesso ao código) ou caixa-branca (com acesso), conforme o objetivo e o que fizer sentido para o momento do seu produto.

Depende do escopo e do tamanho do produto. A partir de uma conversa inicial, propomos um plano com prazos realistas, alinhados ao seu time e ao seu cronograma.

Sim. Trabalhamos com o seu stack e as ferramentas que sua equipe já utiliza, sem exigir reescrita do produto ou mudanças desnecessárias no processo.

Com uma conversa inicial, sem compromisso. Entendemos o seu desafio e sugerimos por onde começar, priorizando o que reduz mais riscos primeiro.

O modelo varia conforme o serviço. Definimos valores, formas e etapas de pagamento na proposta, de forma transparente, antes de começar.

Atendemos remotamente para todo o Brasil. Quando o projeto exigir, avaliamos visitas ou formatos presenciais conforme a sua necessidade.

Sim, assinamos NDA sempre que necessário. Todo o material produzido — relatórios, evidências e documentação — é de propriedade do cliente.

Seguimos a OWASP (Web e API) e boas práticas de AppSec e DevSecOps. Todos os achados são priorizados por risco e trazem recomendações de correção.

Achados com classificação de severidade, evidências reproduzíveis (passos e resultado), impacto e recomendações. Inclui reteste das correções quando contratado.

Sim. Configuramos verificações no CI/CD — SCA, SAST e secrets scanning — e gates de segurança, para cada entrega ser validada automaticamente.

Trabalhamos com escopo e técnicas acordadas por escrito e priorizamos testes seguros. Atividades de maior impacto são combinadas previamente para evitar indisponibilidade.

Não necessariamente. O pentest pode ser conduzido em caixa-preta (sem acesso) ou caixa-branca (com acesso), conforme o objetivo do projeto.

Sim. Após as correções, validamos novamente os achados para confirmar que foram resolvidos — o reteste faz parte da entrega.

Sim. Adaptamos as técnicas ao protocolo e ao estilo da API, cobrindo os riscos específicos de cada um (incluindo GraphQL).

Priorizamos ambientes e dados de teste. Quando necessário, trabalhamos com dados mascarados, sempre dentro do escopo autorizado.

Sim. Avaliamos respostas, contexto e limites de produtos que usam IA, com critérios claros e validação humana dos resultados.

Quando faz sentido, automatizamos os fluxos mais críticos para rodar a cada entrega e prevenir regressões silenciosas.

Sim. Integramos às ferramentas que o seu time já usa (GitHub Actions, GitLab CI, Jenkins, entre outras), sem exigir troca de stack.

Não. As verificações são configuradas para rodar de forma incremental e com gates calibrados, evitando bloqueios desnecessários.

Não. O scan encontra parte das falhas conhecidas, mas não interpreta contexto, lógica de negócio nem encadeia vulnerabilidades como um especialista.

Antes de lançamentos importantes, após grandes mudanças de arquitetura e para atender exigências de segurança e conformidade.

Não. A automação previne regressões; o QA manual encontra o que casos roteirizados não preveem.

Pelos fluxos mais críticos e estáveis, que rodam a cada entrega e têm maior impacto se quebrarem.

Não. Ambos automatizam descobertas, mas o pentest valida impacto e encadeia vulnerabilidades que as ferramentas não interpretam.

Pode gerar. Por isso, calibramos regras e fazemos triagem para focar no risco real.

Depende do objetivo: caixa-preta mede exposição real; caixa-branca aprofunda a correção. As duas se complementam.

Não necessariamente. O pentest pode ser caixa-preta (sem acesso) ou caixa-branca (com acesso), conforme o escopo.

Sim. Atendemos as 27 capitais brasileiras de forma remota, a partir da nossa base em Curitiba/PR.

Sim. O atendimento é remoto em todo o Brasil. Fale com a gente para confirmar o atendimento na sua região.