Sobre o NovaPentest

A NovaPentest existe porque a maioria das aplicações web é testada em segurança com muito menos frequência do que muda. Um pentest manual tem valor, mas é uma fotografia: caro, agendado com meses de antecedência e desatualizado assim que a próxima versão vai para produção. Nas semanas entre um teste e outro, endpoints novos, mudanças de configuração e dependências atualizadas entram no ar sem que ninguém os ataque.

Nós construímos o software que preenche esse intervalo. A NovaPentest ataca as suas aplicações web e APIs como um adversário faria, sob demanda, com agendamento ou a partir do seu pipeline de deploy, para que problemas reais e exploráveis apareçam antes que outra pessoa os encontre. Ela foi pensada para equipes pequenas e médias que precisam de testes sérios sem ter um departamento de segurança dedicado, e está em desenvolvimento desde 2024.

A plataforma executa cerca de sessenta verificações em cada alvo. Algumas são checagens de configuração: TLS, cabeçalhos de segurança, cookies, CORS, DNS e autenticação de e-mail. Outras são sondas ativas que enviam payloads reais de injeção de SQL, NoSQL, comandos, LDAP e templates, cross-site scripting, SSRF, XXE, path traversal e outras classes, e confirmam o que volta. Nos planos pagos, um agente guiado por LLM explora a aplicação como um atacante, seguindo pistas que as verificações fixas não conseguem antecipar, dentro de um orçamento rígido de requisições.

Cada achado vem com evidência, nota de severidade, mapeamento para OWASP Top 10 e CWE e passos concretos de correção. Em volta disso está o que uma equipe precisa para agir sobre os resultados: relatórios em PDF, histórico de scans que mostra o que mudou entre execuções, uma visão de conformidade com o OWASP Top 10, integrações com webhooks, Slack e Jira, e uma API para CI/CD. Qualquer pessoa também pode rodar um scan passivo gratuito em /scan, sem conta, e receber uma nota de A a F.

Seguimos algumas regras. Primeiro, só testamos o que devemos testar. Os alvos são validados antes de cada scan, e o scanner se recusa a conectar em endereços privados, internos ou de metadados de nuvem, mesmo quando um redirecionamento aponta para lá. O scanner público é passivo por construção: ele executa uma lista fechada de verificações que apenas observam e nunca envia payloads de ataque.

Segundo, somos específicos. Um achado sem evidência é ruído, então cada um mostra a evidência observada e como corrigir. Nossos guias de segurança dizem qual módulo faz cada verificação, para que você veja exatamente o que testamos.

Terceiro, somos honestos sobre limites. Teste automatizado não substitui um pentester humano qualificado em lógica de negócio, ataques encadeados ou atestação formal, e dizemos isso, inclusive nos nossos próprios comparativos. Preferimos que você confie no que afirmamos.

A NovaPentest atende equipes brasileiras e de língua portuguesa de forma nativa, não como adaptação de última hora. A interface inteira está disponível em português do Brasil, o site público tem endereços próprios em português sob /pt, e nossos guias de segurança são escritos em português, não traduzidos por máquina, porque um passo de correção mal traduzido é um conselho ruim, não só um texto ruim.

O preço segue a mesma lógica. O plano Pro é oferecido em reais, por R$125 por mês, cobrado em reais pela Stripe, ao lado do preço de US$24,90 por mês para os demais clientes. Equipes brasileiras podem adotar testes de segurança contínuos sem conversão de moeda e sem depender de um produto só em inglês.