Veja seu SaaS pelos olhos de um atacante real.
“E se alguém encontrasse e explorasse uma vulnerabilidade? Qual seria o impacto?” A Haku responde com análise detalhada e evidências técnicas.
31%
das invasões começam por exploração de vulnerabilidade
pela primeira vez em 19 anos de DBIR, superou credenciais roubadas, que caíram para 13% (Verizon DBIR 2026)
US$ 4,99 mi
é o custo médio global de um vazamento
recorde histórico da série (IBM 2026)
+12%
foi a alta do custo de vazamento em um ano
maior patamar já registrado (IBM 2026)
R$ 6,7 mi
é o custo médio de um vazamento no Brasil
IBM Cost of a Data Breach 2026
O que é
A diferença entre achar que é seguro e conseguir provar.
- E se eu mandar uma aspa no campo de busca?
- E se eu trocar o ID do pedido pelo de outro cliente?
- E se eu salvar script no nome do perfil?
- E se o webhook aceitar uma URL interna?
- E se o cupom aceitar valor negativo?
- E se eu pedir o código de reset mil vezes?
- E se o convite revogado ainda funcionar?
- E se eu trocar o tenant na URL?
- E se a API responder para qualquer origem?
Por que importa
A próxima falha não estava no último pentest.
Nenhuma das mudanças abaixo é descuido. São correções e melhorias legítimas, revisadas em code review e aprovadas no CI. Cada uma delas também abriu uma porta que não existia no teste anterior.
Nenhuma tem CVE. Nenhuma aparece em scanner. Todas nasceram depois do último relatório.
fix: nome de usuário não aceitava acento
XSS armazenado
A validação afrouxou para deixar passar ç e á. Junto passou <script>, e o nome de um usuário virou código rodando na tela de quem abre a lista.
feat: exportar relatório em CSV
IDOR
O endpoint recebe o número do relatório e devolve o arquivo. Trocar esse número na URL devolve o relatório de outra empresa.
feat: importar foto de perfil por URL
SSRF
O servidor busca a imagem no endereço que o usuário digitar. Apontando para o endereço interno da nuvem, ele busca a credencial da máquina.
fix: perfil não salvava o telefone
Mass assignment
O update passou a aceitar o objeto inteiro que a tela manda. Junto com o telefone dá para mandar o campo que define quem é administrador.
refactor: centraliza a checagem de permissão
Broken access control
Agora roda antes de toda rota. Menos nas três que tinham guarda própria, foram limpas no refactor e ficaram sem nenhuma.
Metodologia
Construída a partir de ataques reais. Não de checklists genéricos.
Injection
SQL Injection, Cross Site Scripting (XSS), Server Side Request Forgery (SSRF)...
Broken Access Control
IDOR, Broken Object Level Authorization (BOLA), Broken Function Level Authorization (BFLA)...
Broken Authentication
Bypass de MFA, credential stuffing, sequestro de sessão...
Sensitive Data Exposure
Excessive Data Exposure, Mass Assignment, segredo no bundle...
Business Logic Flaws
Manipulação de preço, bypass de fluxo de pagamento, abuso de cupom...
Security Misconfiguration
CORS permissivo, bucket público, endpoint de debug no ar...
Primeiro pentest
Sem vulnerabilidade alta ou crítica, metade do preço.
No seu primeiro pentest com a Haku, se nenhuma vulnerabilidade alta ou crítica for encontrada, você paga 50% do valor. A severidade é classificada por CVSS v3.1 Base Score, o padrão público que qualquer auditor consegue conferir. O risco de não achar nada é nosso.
Válido uma vez, no primeiro contrato.
Próximo passo
Agende um pentest com escopo, método e entrega alinhados ao seu produto.
Escopo e proposta são definidos com base na sua aplicação. A Haku conduz a avaliação ofensiva com critério técnico, documentação reproduzível e orientação de correção — para engenharia agir e para gestão enxergar risco com clareza.