Segurança ofensiva
Como funciona um pentest comigo
Eu ataco o seu sistema do jeito que um invasor faria, mas com autorização, cuidado e um relatório no final dizendo exatamente o que corrigir.
Ainda não sabe por onde começar? Faça o diagnóstico de segurança grátis (10 perguntas, relatório em PDF, nada é enviado).
01
Conversa & escopo
Entendo o seu negócio, o que precisa ser testado (app, API, rede, nuvem) e o que fica de fora. Nada começa sem escopo claro.
02
Autorização por escrito
Assinamos um termo de autorização com escopo, janela de testes e contatos de emergência. Sem autorização, não existe teste.
03
Reconhecimento
Mapeamento da superfície de ataque: subdomínios, serviços expostos, tecnologias e pontos de entrada, com OSINT e varredura controlada.
04
Exploração controlada
Testo as falhas encontradas de forma cuidadosa, sem derrubar serviço e sem acessar mais dados do que o necessário para provar o risco.
05
Relatório técnico
Cada achado com severidade (CVSS), evidência, impacto real e como corrigir. Mais um resumo executivo pra quem não é técnico.
06
Reteste
Depois das correções, testo de novo os pontos críticos e confirmo se a falha foi realmente fechada.
O que está incluso
- OWASP Top 10 e OWASP WSTG como base para aplicações web
- Testes de autenticação, controle de acesso e lógica de negócio
- Análise de configuração e cabeçalhos de segurança
- Relatório com severidade, evidências e plano de correção
- Reunião de apresentação dos resultados
- Confidencialidade: dados e achados ficam só entre nós
Relatório de exemplo
Um relatório fictício, no mesmo formato que você recebe. Dá pra salvar em PDF.
Ver exemplo →
Perguntas frequentes
+O teste pode derrubar meu sistema?
O objetivo é provar o risco sem causar dano. Testes mais agressivos só acontecem se combinados antes, em janela definida e, de preferência, em ambiente de homologação.
+Vocês testam qualquer sistema?
Só sistemas que você tem o direito de autorizar. Não testo sistemas de terceiros sem autorização do dono, mesmo que você peça.
+O que eu recebo no final?
Um relatório técnico e executivo. Veja abaixo um exemplo fictício para saber exatamente o formato.
Divulgação responsável
Achou uma vulnerabilidade no francodes.dev ou em algum projeto meu? Reporte peloformulário de contatocom os passos para reproduzir. Peço que não acesse, altere ou exponha dados de outras pessoas, não faça testes de negação de serviço e me dê um prazo razoável para corrigir antes de divulgar. Pesquisas feitas de boa-fé dentro dessas regras são bem-vindas e serão creditadas, se você quiser.