Pentest para marketplaces e apps: três lados, o triplo de portas
Marketplace tem comprador, vendedor e administrador usando o mesmo sistema, além de um app falando com a API e um fluxo de dinheiro dividido entre todos. Testamos se cada um enxerga e mexe só no que é dele.
Por que marketplaces são alvo
01
Vários perfis no mesmo sistema
Comprador, vendedor, entregador, suporte e admin: cada perfil a mais é uma regra de permissão que pode falhar.
02
Dinheiro em trânsito
Pagamento, comissão, repasse e saque passam pela plataforma. Uma falha de regra vira prejuízo direto.
03
App falando direto com a API
O aplicativo esconde botões, mas a API aceita qualquer chamada. Validação só no app não protege nada.
04
Dados dos dois lados
Endereços, documentos, contas bancárias de vendedores e histórico de compras são dados pessoais protegidos pela LGPD.
05
Fraude e abuso em escala
Cadastros falsos, cupons repetidos e avaliações manipuladas exploram regras de negócio, não falhas de código.
06
Muitas integrações
Gateway, antifraude, frete, nota fiscal e notificações: cada integração é uma porta e um segredo a proteger.
O que testamos em marketplaces
Permissões entre perfis
Um vendedor vê pedidos ou clientes de outro? Um comprador chega a funções de vendedor ou de admin?
Repasses, saques e comissões
Dá para alterar conta de recebimento, valor de repasse ou comissão por fora do fluxo previsto?
API do aplicativo
Testamos a API que o app consome como um atacante faria, sem depender do que a tela permite.
Webhooks de pagamento
A confirmação de pagamento pode ser forjada? O pedido é liberado sem o dinheiro ter entrado?
Regras de negócio
Cupons, frete, estoque, cancelamento e estorno: onde a regra pode ser burlada a favor de quem abusa.
Cadastro e login
Criação de contas em massa, recuperação de senha e sessões em vários dispositivos.
Quer ver primeiro o que já está exposto? Verifique seu site grátis e veja quanto custa um pentest.
Perguntas frequentes
Dúvidas comuns de marketplaces e apps de serviço.
Cada usuário do seu marketplace enxerga só o que é dele?
Conversa de escopo gratuita de 20 minutos. Comece pela verificação pública gratuita do seu site.