Não é relatório que chega depois do estrago. É um time de agentes que olha a sua infraestrutura o tempo todo, corrige o que aparece dentro de uma regra combinada com você e presta conta numa página que qualquer pessoa entende.
Segurança, pra maioria das empresas, é uma pasta de PDF, um antivírus no computador do financeiro e um susto por ano. Ninguém olha o que a sua aplicação está fazendo às três da manhã de um sábado, no dia do lançamento.
A chave da API ficou no arquivo, foi pro repositório e ninguém lembra. Ela funciona, então ninguém mexe. Até o dia que alguém acha.
Isso importa porque chave exposta não pede senha, pede sorte. E a conta chega no seu nome.
O projeto roda há dois anos com a mesma versão. Saiu falha crítica naquela biblioteca e você só descobre pelo print de alguém no grupo.
Isso importa porque falha conhecida é a porta mais fácil que existe. Está documentada na internet.
O freelancer foi embora e levou o mapa. O banco aceita qualquer consulta. A pergunta "o que está aberto hoje" não tem resposta.
Isso importa porque sem saber o que existe, qualquer promessa de segurança é chute.
O motor de análise é o instrumento. O que você contrata é o time: gente de software e agentes trabalhando na sua infraestrutura, com uma pessoa sua no comando das aprovações.
Cada etapa entrega uma peça concreta. Nada fica em "em andamento" sem prova.
Aplicações, dados, acessos, deploys, chaves, dependências. Varredura completa com nota por etapa e a conta aberta na tela. Achado escrito em linguagem de leigo.
Guarda na porta da aplicação, regra de acesso no banco, cabeçalhos, limite de abuso, chave fora do código. Cada mudança com aprovação, cópia de segurança e volta atrás garantida.
O que nunca pode acontecer, o que o time pode fazer sozinho, o que só sai com a sua palavra, quem é avisado e em quanto tempo. Sem isso não existe plantão.
Apareceu coisa nova, você é avisado com o nome do arquivo e a linha. Se for crítico, o time age dentro da regra e registra tudo. O histórico fica guardado.
Fecha o buraco, troca a dependência viciada, refatora o que a segurança exige. Com revisão, teste e medição antes e depois.
O que entrou, o que foi corrigido, o que sobrou, o que mudou de risco, nota antes e depois. Nada de "está tudo bem" sem prova na mesa.
Sem invenção: o que ainda não foi provado aparece escrito como não provado. Nota que não carrega é dita na tela, nunca arredondada pra cima.
Cada agente tem uma função e um limite. Nenhum deles decide sozinho o que muda em produção.
O único que aprova mudança em produção é você. O time propõe, você decide, o time executa e registra. Uma pessoa, uma palavra final, nenhuma surpresa sem aviso.
Regra escrita antes do primeiro dia de trabalho. Quebrou, o time para e avisa.
Nenhum valor de segredo é lido, copiado ou colocado em relatório. Só o nome e o caminho. Nenhum dado de cliente sai da sua infraestrutura.
Sem aprovação registrada, cópia de segurança e caminho de volta testado, nada muda. Ponto.
Arquivo, linha, gravidade, prazo e responsável. O que não dá pra corrigir vira declaração sua, não desaparece.
Se a análise cobriu pouco, a tela diz. Nota que não carrega aparece como sem nota, nunca como 100 falso.
Não conseguiu falar com você, o registro continua, o aviso fica e o ciclo seguinte insiste. Nunca passa batido.
Certificado, nuvem, máquina de teste limpa, assinatura digital. O que não foi verificado aparece como não verificado.
Vou ser direto: não é pra quem quer um selo na parede. O Selo e o certificado de conformidade são outro caminho. Aqui o trabalho é achar, fechar e continuar olhando, com o seu dedo na aprovação. Se você não quer ninguém com acesso de leitura ao seu código e à sua infraestrutura, mesmo com regra escrita, isso não serve. E tem uma coisa que o time não faz: ele não promete que você nunca vai ser atacado. Ele promete que você vai saber o que está aberto, com prova e com prazo.
O time entra, mapeia o que existe, roda a varredura e entrega o retrato completo com nota por etapa, plano de ação e prioridades. Em 48 horas você sabe onde está pisando.
Antes de qualquer plantão, o combinado fica escrito: o que nunca pode, o que o time resolve sozinho, o que espera a sua palavra, quem é avisado e em quanto tempo.
O time passa a rodar em ciclo. Achado novo chega com arquivo e linha, o crítico é tratado dentro da regra, e no fim do mês você recebe a página de prestação de contas.
O motor de auditoria que já existe é o posto de trabalho do time. Sem motor, o time seria opinião.
A porta de entrada é sempre o diagnóstico. Sem saber o que existe, qualquer promessa é chute.
O time entra, mapeia e entrega o retrato completo.
O time fica. Roda em ciclo, avisa quando muda e presta conta todo mês.
Plantão mais a obra: fechar buraco, atualizar dependência e refatorar o que a segurança exige.
Valor e prazo são combinados por escopo, depois do diagnóstico. Nada é cobrado por hora de susto. O que você não contratar não entra na conta.
Tem acesso de leitura, com regra escrita antes do primeiro dia. Nenhum valor de segredo é lido ou copiado, só o nome e o caminho. Escrita em produção só acontece com a sua aprovação registrada.
Até 48 horas depois do acesso liberado. Você recebe a varredura completa, a nota por etapa, o plano de ação e a lista de prioridades.
Não. Pentest ataca a aplicação pra achar falha de exploração. Aqui o trabalho é mapear, fechar o que está aberto, instalar guarda e ficar de plantão. Se no diagnóstico aparecer necessidade de teste de invasão, isso é dito e tratado como serviço à parte.
Nunca. O que é crítico e está dentro da regra combinada, o time executa e registra. O que muda comportamento, espera a sua palavra. Uma pessoa aprova, e essa pessoa é sua.
Uma página: o que entrou, o que foi corrigido, o que sobrou, o que mudou de risco, a nota antes e depois. E o aviso de achado novo com arquivo, linha, gravidade e prazo.
Você recebe isso escrito, com o que foi analisado e o que ficou de fora. Nota alta com pouco analisado aparece na tela como pouco analisado.
Não. A varredura é leitura. Mudança que exige parada é combinada com janela, cópia de segurança e caminho de volta testado.
Serve. O diagnóstico é a mesma porta de entrada pra um SaaS de uma pessoa e pra uma agência com vários projetos. O que muda é o escopo depois.
Por escopo, depois do diagnóstico, com o que está incluído escrito. Sem hora de susto, sem surpresa na fatura.
O time entra pela porta da frente, com regra escrita, o seu dedo no comando e relatório que a sua equipe entende. Comece pelo diagnóstico: em 48 horas você sabe exatamente onde está pisando.
Quero o diagnóstico