Pentest para SaaS: o laudo que destrava o contrato enterprise
Num SaaS, um único erro de controle de acesso expõe todos os clientes de uma vez. E o cliente grande já pergunta, no questionário de segurança, quando foi o último teste independente. Testamos o produto como um cliente mal-intencionado testaria.
Por que SaaS precisa de pentest
01
Um bug, todos os clientes
Em arquitetura multi-tenant, uma falha de isolamento não vaza um cliente: vaza a base inteira.
02
Due diligence de enterprise
Questionários de segurança de clientes grandes pedem evidência de pentest recente, feito por terceiro independente.
03
ISO 27001 e SOC 2
As duas estruturas esperam teste de segurança periódico, e o laudo é a evidência que o auditor procura.
04
Ciclo de deploy rápido
Cada release muda a superfície. O que estava seguro no trimestre passado pode não estar hoje.
05
LGPD como operador
O SaaS trata dados em nome dos clientes e responde pelas medidas de segurança (art. 46) no contrato e perante a ANPD.
06
Funcionalidades de IA
Assistente que lê dados do cliente cria um caminho novo para vazamento entre tenants.
O que testamos num SaaS
Isolamento entre tenants
Um cliente consegue ler, alterar ou apagar dados de outro trocando um ID na requisição? É a primeira coisa que testamos.
Perfis e permissões
Usuário comum virando admin, convite que dá mais acesso que o previsto, permissão que não é revogada.
Autenticação e SSO
Login, recuperação de senha, MFA, SSO/SAML e sessão: o caminho mais curto para tomar uma conta.
API pública e integrações
Chaves de API, escopos, webhooks e integrações com terceiros, com o mesmo rigor da interface.
Plano e cobrança
Recurso pago liberado sem pagar, limite de plano contornado, troca de plano manipulada.
IA no produto
Assistentes e agentes testados com base no OWASP Top 10 para LLM, inclusive vazamento entre clientes.
Quer ver primeiro o que já está exposto? Verifique seu site grátis e veja quanto custa um pentest.
Perguntas frequentes
Dúvidas comuns de empresas SaaS.
Questionário de segurança na mesa?
Conversa de escopo gratuita de 20 minutos e proposta em até 24 horas úteis.