Descrição do projeto
TraduzidoEstamos nos preparando para lançar uma aplicação web que processará dados sensíveis dos usuários, e antes de entrar em produção, precisamos de uma avaliação de segurança independente de um especialista externo. Não se trata de endurecimento geral de servidor ou configuração de firewall — precisamos de um pentest direcionado da própria aplicação com cobertura da lista completa do OWASP Top 10: injeções, autenticação quebrada e gerenciamento de sessão, controle de acesso quebrado, cross-site scripting, referências diretas inseguras a objetos, configuração de segurança inadequada, exposição de dados sensíveis e outras categorias. É importante para nós que o testador pense como um verdadeiro atacante e verifique a aplicação da maneira que um adversário faria.
O trabalho deve combinar testes manuais e scanners, porque a automação sozinha perde erros de lógica e defeitos de autorização. Forneceremos um ambiente de teste, duas ou três contas com diferentes níveis de privilégio e uma breve visão geral dos principais cenários. Em troca, esperamos um relatório escrito claro: cada descoberta é descrita com passos de reprodução, nível de severidade (por exemplo, pelo CVSS), impacto real e conselhos práticos de remediação com os quais nossos desenvolvedores possam trabalhar. Pedimos que você separe vulnerabilidades confirmadas de observações de baixa confiança para que possamos priorizar corretamente.
Depois de abordarmos as descobertas, precisaremos de um reteste: para confirmar que cada item está realmente corrigido e que nenhum novo problema apareceu. A confidencialidade é obrigatória — tudo o que for encontrado permanece estritamente entre nós, os dados dos nossos sistemas não são copiados para lugar nenhum. Por favor, descreva sua metodologia, os padrões que você segue e um cronograma estimado para a auditoria, incluindo o reteste.
O que mais importa para nós:
— Cobertura completa do OWASP Top 10, trabalho manual mais automação
— Relatório com níveis de severidade e recomendações de remediação
— Reteste obrigatório para confirmar correções
O trabalho deve combinar testes manuais e scanners, porque a automação sozinha perde erros de lógica e defeitos de autorização. Forneceremos um ambiente de teste, duas ou três contas com diferentes níveis de privilégio e uma breve visão geral dos principais cenários. Em troca, esperamos um relatório escrito claro: cada descoberta é descrita com passos de reprodução, nível de severidade (por exemplo, pelo CVSS), impacto real e conselhos práticos de remediação com os quais nossos desenvolvedores possam trabalhar. Pedimos que você separe vulnerabilidades confirmadas de observações de baixa confiança para que possamos priorizar corretamente.
Depois de abordarmos as descobertas, precisaremos de um reteste: para confirmar que cada item está realmente corrigido e que nenhum novo problema apareceu. A confidencialidade é obrigatória — tudo o que for encontrado permanece estritamente entre nós, os dados dos nossos sistemas não são copiados para lugar nenhum. Por favor, descreva sua metodologia, os padrões que você segue e um cronograma estimado para a auditoria, incluindo o reteste.
O que mais importa para nós:
— Cobertura completa do OWASP Top 10, trabalho manual mais automação
— Relatório com níveis de severidade e recomendações de remediação
— Reteste obrigatório para confirmar correções
Programação web Dinheiro, Transferência bancária
