Segurança ofensiva para SaaS e produtos digitais.
Em SaaS, segurança deixou de ser assunto de infraestrutura e virou item de contrato. O cliente corporativo audita antes de assinar, e o investidor pergunta na due diligence. Testamos o produto com esse duplo olhar.
A falha que custa o contrato
Num produto multi-tenant, a pergunta que decide tudo é simples: um cliente consegue enxergar o dado de outro? Se a resposta for sim em qualquer caminho, nada mais importa muito. A pressão por velocidade de entrega, somada a permissões que crescem por adição e nunca por revisão, faz esse tipo de falha aparecer com frequência bem maior do que se imagina.
- Isolamento entre inquilinos é o requisito que não admite exceção.
- O modelo de permissões cresce por adição e raramente é revisado por inteiro.
- Integrações, webhooks e tokens de API ampliam a superfície a cada release.
- A venda para cliente corporativo trava sem evidência de teste independente.
O que testamos num produto SaaS
Atacamos o produto como um cliente mal-intencionado que já pagou a assinatura — porque é esse o cenário mais provável.
Tentativa sistemática de alcançar dado de outro inquilino por identificador, parâmetro, exportação, busca e cache. É o teste central.
Login, SSO, segundo fator, expiração de sessão, convite de usuário e o que sobra de acesso após remover alguém da equipe.
Papéis, escopos e herança: se um usuário de perfil restrito alcança função administrativa por chamada direta à API.
Escopo do token, revogação, limite de requisição e exposição de dado além do necessário nas respostas.
Verificação de assinatura, proteção contra repetição e requisições que o seu backend faz para destino informado pelo cliente.
Arquivos enviados por usuários: tipo, armazenamento, isolamento do processamento e acesso ao conteúdo por URL previsível.
Evidência que destrava venda e rodada
O material é preparado para os dois públicos que vão pedi-lo: o time de segurança do seu cliente e o diligenciador do investidor.
- Questionário de fornecedor
- A carta de atestado responde à pergunta sobre teste de intrusão independente, que aparece em praticamente todo questionário de segurança corporativo.
- Certificações
- Programas como ISO 27001 e SOC 2 pedem teste periódico como controle. O relatório serve como evidência dentro desse ciclo, sem substituir a auditoria.
- LGPD e contratos de dados
- Como operador de dados dos seus clientes, você responde contratualmente. Documentamos exposição por inquilino, que é o recorte que o contrato cobra.
- Due diligence técnica
- Em rodada ou aquisição, a existência de teste recente com plano de correção executado pesa a favor e evita desconto por risco.
Como conduzimos com time enxuto
Ambiente de homologação primeiro
Sempre que existir réplica, começamos por ela. Isso libera teste mais agressivo e não coloca dado de cliente real no caminho.
Contas de inquilinos controladas
Criamos ao menos dois inquilinos de teste com dados distintos. O isolamento se prova tentando cruzar essa fronteira de todas as formas possíveis.
Achado crítico comunicado na hora
Falha de isolamento ou de autenticação não espera o relatório: vai por canal direto assim que é confirmada, para você corrigir no mesmo dia.
Correção junto ao ciclo de release
O plano é organizado para caber em sprint, e o reteste acontece após o deploy da correção, sem exigir parada do roadmap.
O que você recebe
- Relatório executivo para board e clientes
- Relatório técnico reproduzível
- Teste dedicado de isolamento multi-tenant
- Revisão do modelo de permissões
- Classificação CVSS justificada
- Comunicação imediata de achado crítico
- Reteste após deploy da correção
- Carta de atestado para due diligence
Perguntas frequentes do setor
Conseguem testar sem tocar em dado de cliente real?
+
Na maioria dos casos, sim. Preferimos ambiente de homologação com dado sintético, onde podemos ser mais agressivos sem risco. Quando o teste precisa acontecer em produção, criamos inquilinos próprios e restringimos a atividade a eles, com limites de volume acordados.
Quanto tempo leva um engajamento para um produto SaaS?
+
Depende do tamanho da superfície: número de perfis, extensão da API e quantidade de integrações. O escopo é fechado depois de uma conversa técnica curta, em que mapeamos esses três eixos. O que não varia é o método: exploração manual e cada achado validado antes de entrar no relatório.
O relatório serve para responder questionário de segurança do cliente?
+
Serve, e é um dos usos mais comuns. A carta de atestado confirma que houve teste independente, com escopo e período, sem revelar detalhe explorável — exatamente o que o questionário pede. O relatório técnico completo você compartilha apenas se quiser, e sob acordo.
E se vocês encontrarem uma falha crítica no meio do teste?
+
Você é avisado imediatamente, por canal direto, com o suficiente para corrigir no mesmo dia. Não seguramos achado crítico até o fim do projeto. Depois da correção, retestamos e registramos o ciclo fechado no relatório final.
Serviços aplicados a este setor
Pronto para descobrir suas falhas?
Primeira call de scoping é gratuita e coberta por NDA. Em 48 horas você recebe proposta técnica, escopo e cronograma. Sem formulários burocráticos.