Uma aplicação é mais do que suas páginas
Portais do cliente, e-commerce, sistemas internos e painéis administrativos concentram operações e dados importantes. Uma avaliação web precisa considerar autenticação, sessões, permissões e os fluxos que sustentam essas operações, conforme o objetivo do projeto.
A referência técnica pode incluir a OWASP Web Security Testing Guide. A cobertura é adaptada às características da aplicação e aos limites acordados, em vez de depender apenas de uma lista genérica de testes.
O papel dos perfis de acesso
Perfis diferentes podem acessar funções e dados diferentes. Por isso, informar se existem clientes, operadores, gestores ou administradores ajuda a planejar a avaliação de autorização. Contas de teste e dados adequados ao ambiente devem ser combinados no início do projeto.
É importante explicar quais fluxos são críticos: uma compra, um cadastro, uma aprovação ou o acesso a documentos, por exemplo. O contexto ajuda a diferenciar uma limitação funcional de um problema de segurança.
Como contar seus sistemas web
Conte cada sistema ou portal independente. Um site com várias páginas pode ser uma aplicação; dois produtos com fluxos e regras próprios podem exigir escopos separados, mesmo que pertençam à mesma empresa.
Se uma API participa da operação, ela também merece ser discutida no escopo. A aplicação web e o serviço de API são relacionados, mas podem ter superfícies e abordagens de teste diferentes. O configurador permite indicar as duas frentes.
Do planejamento à entrega
A proposta define ambiente, acessos, janelas, limites e entregas. Produção e homologação têm contextos distintos, que precisam ser considerados antes dos testes. A execução é controlada e respeita o escopo autorizado.
Ao final, as evidências são apresentadas com impacto e recomendações para correção. Um reteste pode verificar os itens acordados depois das mudanças. Use o configurador para informar o número de aplicações e os perfis conhecidos, mesmo que ainda sejam estimativas.
Perguntas sobre pentest web
Cada URL conta como um sistema?
Não necessariamente. No orçamento inicial, conte aplicações independentes. Caminhos e páginas do mesmo sistema são detalhados no alinhamento do escopo.
É necessário fornecer acesso de administrador?
Nem todo projeto exige esse acesso. Os perfis e as credenciais de teste necessários dependem do objetivo e devem ser combinados antes da execução.