// Comparação de decisão
RET vs contratar uma agência de desenvolvimento
Resposta rápida
Agência de desenvolvimento e revisão de segurança independente não competem; fazem coisas diferentes. A agência constrói (ou refatora) o produto. A RET não constrói: ela testa, de fora, o que já existe, incluindo o que a agência entregou. Quem escreve o código raramente é a melhor pessoa pra achar a falha dele, é o mesmo ponto cego que a IA tem.
Se você só precisa de mais mãos pra construir, contrate a agência. Se você precisa de prova de que o produto está seguro (venda B2B, dado de cliente, questionário), você precisa de um olhar independente que testa, não de quem construiu dizendo que está ok.
Construir não é o mesmo que provar
A confusão comum é achar que "a agência cuida da segurança". Cuida do que constrói, no padrão dela; não é avaliação independente:
| Critério | Agência de dev | RET (revisão) |
|---|---|---|
| Papel | Constrói o produto | Testa o que existe, de fora |
| Visão | De dentro (escreveu o código) | Independente (olhar de atacante) |
| Prova pra cliente B2B | Interna, menos aceita | Relatório de terceiro, mais aceito |
| Acha a própria falha? | Ponto cego natural | É justamente o trabalho |
| Quando escolher | Precisa construir/refatorar | Precisa provar segurança |
Quando a agência basta (e não te enganamos)
Se o produto é interno, sem dado sensível e sem venda que exige prova, a agência construindo com cuidado pode ser suficiente por agora, não vamos inventar urgência. A revisão independente entra quando o erro fica caro: cliente pagante, dado pessoal de terceiro, due diligence, questionário de segurança. Aí um relatório de fora vale o que a palavra de quem construiu não vale.
Muita empresa faz os dois: a agência entrega, a RET lê de 1 a 3 fluxos sensíveis no Risk Review e diz o que corrigir antes de ir pro cliente.
Perguntas frequentes
Minha agência já não cuida da segurança?
Ela cuida do que constrói, no padrão dela, mas isso não é avaliação independente. Quem escreveu o código tem ponto cego pra própria falha (igual à IA). Prova de segurança pra um cliente B2B costuma exigir um terceiro que testou, não a palavra de quem entregou.
Preciso trocar de agência?
Não. A revisão independente não substitui a agência; complementa. A agência constrói, a RET testa o que ela entregou. É frequente e saudável ter os dois.
Quem faz a revisão na RET?
Gabriel Lima Ferreira, founder e lead pentester, com autorização e escopo fechado, entregando evidência reproduzível.