O que é pentest? O guia completo para 2026

O que é pentest, na prática

Pentest é a abreviação de penetration test, ou teste de intrusão. Na prática, é contratar alguém (ou algo) para atacar o seu próprio sistema com as mesmas técnicas de um invasor real — só que com autorização e com o objetivo de te avisar, não de te prejudicar. O resultado não é um palpite: é uma lista de falhas que foram efetivamente exploradas, com a prova de que funcionam e uma medida de quão grave cada uma é.

A palavra-chave é prova. Qualquer ferramenta consegue dizer "essa versão de biblioteca tem uma CVE conhecida". Um pentest vai além: ele tenta usar a falha. Se conseguir extrair um dado que não deveria, burlar um login ou executar um comando no servidor, aí sim existe um problema confirmado — não uma suspeita teórica que talvez nem se aplique ao seu caso.

Pentest vs scanner de vulnerabilidade

Essa é a confusão mais comum — e a mais cara. Um scanner de vulnerabilidade compara seu sistema com um banco de falhas conhecidas e cospe uma lista de suspeitas. É rápido e útil como higiene, mas gera muito falso positivo: aponta problemas que, no seu contexto, não são exploráveis. Um pentest pega essas suspeitas (e vai além delas) e tenta explorar de verdade, ficando só com o que confirmou.

Resumo: o scanner detecta, o pentest prova. Um bom pentest automatizado hoje faz as duas coisas — detecta e depois explora — entregando a você só o que importa, com a evidência anexada.

Tipos de pentest por nível de conhecimento

Quanto o time de teste sabe sobre o alvo antes de começar muda o custo, a velocidade e o realismo. Há três abordagens clássicas:

• Black box (caixa-preta): o testador não recebe nada — nem código, nem credenciais, nem arquitetura. Ataca de fora, como um invasor real anônimo. É o mais realista para o cenário "alguém da internet", mas pode deixar passar falhas em áreas que nunca alcançou.
• Grey box (caixa-cinza): o testador recebe acesso parcial — normalmente credenciais de usuário comum e alguma documentação. É o melhor custo-benefício: simula um invasor que já conseguiu uma conta (ou um funcionário mal-intencionado) e cobre a área autenticada, onde mora a maioria das falhas graves.
• White box (caixa-branca): o testador tem tudo — código-fonte, credenciais de admin, diagramas. É o mais profundo e completo, ideal para auditorias críticas, mas também o mais caro e demorado.

Para a maioria dos SaaS e web apps, o grey box é o ponto ideal: cobre a parte autenticada sem o custo de uma revisão de código completa.

As fases de um pentest

Um pentest sério — manual ou automatizado — segue uma sequência lógica. Cada fase alimenta a próxima:

1. Reconhecimento: coletar tudo que dá para saber sobre o alvo — domínios, tecnologias, endpoints, dados expostos. É a inteligência antes do ataque.
2. Mapeamento: montar a planta do sistema — quais páginas, rotas de API, formulários e fluxos existem, e como se conectam.
3. Varredura (scanning): sondar cada ponto do mapa em busca de fraquezas — injeções possíveis, configurações erradas, versões vulneráveis.
4. Exploração: o coração do pentest. Tentar de fato usar cada fraqueza para invadir, extrair dados ou burlar controles. Aqui a suspeita vira falha confirmada.
5. Pós-exploração: uma vez dentro, medir o estrago possível — dá para escalar privilégios? Alcançar outros sistemas? Persistir o acesso? É o que separa "achou uma brecha" de "comprometeu tudo".
6. Relatório: documentar cada achado com evidência, severidade (CVSS) e o passo a passo de remediação. Sem isso, o teste não vale nada — o valor está no que o time consegue corrigir.

Tipos de pentest por alvo

O alvo muda as técnicas e o conhecimento necessário. Os principais:

• Web (aplicação): sites e web apps — o alvo mais comum. Cobre OWASP Top 10: injeções, XSS, autenticação quebrada, controle de acesso falho (IDOR).
• API: os endpoints que alimentam apps e integrações. Aqui brilham falhas de autorização, exposição de dados e abuso de lógica — o OWASP API Top 10.
• Rede (infraestrutura): servidores, portas, serviços e configurações expostas. Busca serviços vulneráveis, credenciais fracas e segmentação mal feita.
• Mobile: apps Android/iOS — armazenamento local inseguro, comunicação exposta e segredos embutidos no binário.

Quem precisa de pentest — e por quê

Se você tem um sistema que guarda dados de usuários, processa pagamentos ou expõe qualquer coisa na internet, você precisa. Na prática, os motivos mais comuns são:

• Proteger o negócio: um vazamento custa muito mais caro que o teste — em dinheiro, em confiança e em tempo de resposta a incidente.
• Compliance: LGPD, ISO 27001, SOC 2 e PCI-DSS exigem (ou fortemente recomendam) teste de segurança recorrente como evidência.
• Fechar contratos: clientes enterprise cada vez mais pedem laudo ou relatório de pentest antes de assinar.
• Dormir tranquilo: saber que alguém já tentou invadir — e você corrigiu — antes que um criminoso tentasse.

Pentest manual vs automatizado

Historicamente, pentest era sinônimo de trabalho manual: um especialista humano gasta de 1 a 2 semanas e o serviço custa entre R$8.000 e R$18.000. É profundo, mas caro e lento — o que na prática significa testar uma vez por ano, deixando meses de deploys sem cobertura.

O pentest automatizado por IA muda a economia: roda em minutos por uma fração do preço, e pode rodar a cada deploy. Não substitui o humano na lógica de negócio mais criativa, mas cobre a linha de base contínua que a maioria dos sistemas nunca teve. A escolha não é "um ou outro" — os melhores times usam os dois. Aprofunde em pentest manual vs automatizado e entenda quando cada um faz sentido.

Onde entra o Escudo Code

O Escudo Code é o pentest automatizado que explora de verdade. Ele não te entrega uma lista de CVEs teóricas: executa exploits reais e só reporta o que confirmou, cada achado com evidência anexada e severidade CVSS. Nos nossos benchmarks, isso significou mais de 900 vulnerabilidades confirmadas, sendo 508 críticas ou altas — validado em alvos de referência como o OWASP Juice Shop e o VAmPI.

É a linha de base contínua que roda a cada deploy, com credenciais mantidas só em memória durante o teste. Veja como testamos ou consulte os planos para começar. E antes de qualquer coisa, revise o OWASP Top 10 — as dez categorias de falha que todo pentest de web deve cobrir.