// Comparação de decisão
Pentest manual vs scanner automático de segurança
Resposta rápida
Scanner automático e pentest manual resolvem problemas diferentes. O scanner varre dependências, versões e configuração conhecida em minutos, barato e repetível. O pentest manual persegue o que exige raciocínio: quebrar controle de acesso, encadear IDOR, burlar um fluxo de cobrança, achar o tenant que enxerga dado do outro. Scanner responde "tem CVE conhecida aqui?"; pentest responde "um humano mal-intencionado consegue chegar no dado ou no dinheiro?".
Regra prática: rode um scanner sempre (é higiene contínua e barata). Contrate pentest manual quando existe dinheiro, dado de cliente ou uma venda B2B em jogo, porque é aí que a falha de lógica aparece, e scanner nenhum acha falha de lógica.
O que cada um acha (e o que passa batido)
A diferença não é "um é melhor". É onde cada um enxerga. Scanner tem recall alto em vulnerabilidade catalogada e recall zero em regra de negócio, porque ele não entende o que o seu produto deveria ou não deveria permitir.
| Tipo de falha | Scanner automático | Pentest manual |
|---|---|---|
| CVE em dependência / versão desatualizada | Acha bem | Acha, mas não é o foco |
| Header, TLS e configuração fraca | Acha bem | Confirma e prioriza |
| IDOR / acesso a dado de outro cliente | Quase nunca acha | Foco principal |
| Falha de lógica de cobrança / plano | Não acha | Foco principal |
| Bypass de autenticação / autorização | Raramente | Foco principal |
| Encadeamento de falhas (exploit real) | Não faz | Faz e prova com evidência |
Custo, tempo e o que você recebe
Scanner é contínuo e quase gratuito no dia a dia; o custo é o ruído (falso positivo) e a falsa sensação de segurança quando ele volta verde. Pentest é pontual, com escopo e autorização, e entrega prova: cada achado vem com passo a passo de reprodução, severidade e prioridade de correção, o material que destrava uma venda B2B ou um questionário de segurança do cliente.
- Scanner: minutos, recorrente, ótimo para pegar regressão de dependência.
- Pentest manual: dias, com NDA e escopo fechado, evidência controlada.
- O melhor resultado é usar os dois: scanner como higiene, pentest quando o risco é acesso, dado ou receita.
Quando NÃO contratar pentest manual (ainda)
Se o seu produto ainda não tem usuário real, cobrança ligada nem dado sensível, pentest manual é cedo. O dinheiro rende mais num scanner recorrente e numa primeira revisão guiada (o Promptbook ou o Risk Review da RET) para arrumar o óbvio antes de pagar por teste profundo.
Contrate o pentest quando: um cliente B2B pediu prova de segurança, você vai processar pagamento ou dado pessoal de terceiros, ou você já tem um sinal de que algum fluxo libera acesso errado. Aí o teste manual paga por si.
Perguntas frequentes
Scanner automático substitui pentest?
Não. Scanner acha vulnerabilidade conhecida e configuração fraca; ele não entende a regra de negócio do seu produto, então não acha IDOR, bypass de plano ou vazamento entre clientes. Esses são exatamente os que mais doem numa venda B2B, e só o teste manual encontra.
Então scanner é inútil?
Longe disso. Scanner é higiene contínua barata: pega dependência desatualizada e regressão de configuração antes que virem problema. O erro é achar que "scanner verde" quer dizer "produto seguro".
Quem faz o pentest na RET?
O teste manual é conduzido por Gabriel Lima Ferreira, founder e lead pentester da RET, com autorização e escopo fechado. Cada achado vem com evidência reproduzível e prioridade de correção.
Dá para começar barato?
Dá. Para quem ainda não precisa de pentest completo, o Risk Review lê de 1 a 3 fluxos sensíveis e diz o que corrigir, o que monitorar e o que precisa de teste manual depois.