Segurança no NovaPentest

Uma empresa de testes de segurança deve seguir um padrão mais alto do que as aplicações que testa. Esta página descreve, de forma concreta, como a NovaPentest protege a sua conta, os dados que você nos confia, os alvos que você escaneia e os seus pagamentos.

Tudo aqui descreve como a plataforma é construída hoje. Quando um controle não existe, não o afirmamos: você não vai encontrar nesta página certificações ou promessas que não possamos comprovar.

As senhas nunca são guardadas de forma legível. Elas recebem salt e hash com o password hasher do ASP.NET Core, que usa PBKDF2. Você precisa confirmar o seu e-mail antes do primeiro login e pode ativar a autenticação em dois fatores com qualquer aplicativo autenticador TOTP; depois de ativada, todo login exige um código válido.

Login e cadastro têm limite de tentativas por minuto, para dificultar a adivinhação de senhas. Os links de redefinição de senha usam um token aleatório de 256 bits, funcionam uma única vez e expiram em uma hora, e o formulário responde da mesma forma exista ou não a conta, para que não sirva para descobrir quem tem cadastro.

As sessões usam cookies HttpOnly e SameSite, que scripts não conseguem ler, e expiram após oito horas de inatividade. Logins com falha, redefinições de senha e convites de equipe são registrados em log de auditoria, e os membros da equipe recebem papéis (Proprietário, Administrador, Analista, Visualizador) em vez de compartilharem uma conta.

As credenciais que você informa para um scan autenticado avulso ficam apenas em memória até o scan começar e nunca são gravadas no banco de dados. Quando o agente de IA as utiliza, a senha é ocultada do que é enviado ao modelo de linguagem; quem a aplica no login é o próprio scanner. Se você associar credenciais a um agendamento recorrente, elas precisam ser guardadas para que o agendamento rode sozinho; a senha fica armazenada de forma criptografada com as chaves de proteção de dados da aplicação, nunca em texto puro. Mesmo assim, use uma conta de teste dedicada e com poucos privilégios nos scans agendados.

As chaves da API de CI/CD são exibidas uma única vez e armazenadas apenas como hash SHA-256. Elas podem ter data de expiração e ser revogadas a qualquer momento.

Cada requisição é vinculada ao seu workspace pela sessão autenticada, e alvos, scans e achados ficam restritos a esse workspace. A aplicação também envia Content-Security-Policy, se recusa a ser exibida dentro de frames de outros sites e define os cabeçalhos nosniff, Referrer-Policy e Permissions-Policy em todas as respostas.

Um scanner que pode ser apontado para qualquer lugar poderia ser usado contra redes internas. Por isso a NovaPentest verifica cada alvo antes de um scan e recusa qualquer nome que resolva para endereço de loopback, privado, link-local, CGNAT, multicast ou reservado, incluindo o serviço de metadados da nuvem. A mesma checagem roda de novo no momento de cada conexão, sobre o endereço exato que está sendo conectado, e assim um redirecionamento para um host interno ou uma resposta de DNS que muda no meio do scan também são recusados.

O scanner público gratuito em /scan é passivo por construção. Ele executa uma lista fechada de dez verificações que apenas observam, como cabeçalhos, TLS, cookies e segurança de e-mail no DNS, e aborta se essa lista não puder ser carregada. Não envia payloads de injeção, não tenta logins, nunca aciona o agente de IA e tem limite de uso por visitante.

O agente de IA, disponível nos planos pagos, só consegue requisitar caminhos do alvo que você cadastrou e trabalha com um número máximo de requisições por scan.

Os pagamentos são processados pela Stripe. Ao assinar, você é levado ao Stripe Checkout e digita os dados do cartão nas páginas da própria Stripe. Números de cartão nunca passam nem ficam armazenados nos servidores da NovaPentest, e o nosso banco de dados não tem onde guardá-los.

Mudanças na sua assinatura chegam até nós por webhooks da Stripe, e cada webhook tem a assinatura da Stripe validada antes de qualquer ação, para que uma requisição forjada não consiga alterar o seu plano. A gestão da forma de pagamento e da assinatura acontece no portal de cobrança da própria Stripe.

Se você acredita ter encontrado uma vulnerabilidade de segurança na própria NovaPentest, queremos saber. Envie os detalhes pelo nosso formulário de contato em /contact e comece a mensagem com "Relato de segurança", para que ela chegue rapidamente às pessoas certas. Inclua a URL afetada, os passos para reproduzir e o que um atacante conseguiria fazer.

Durante a investigação, aja de boa-fé: use apenas contas que sejam suas, não acesse nem altere dados de outros clientes, não degrade o serviço para outras pessoas e nos dê um prazo razoável para corrigir o problema antes de divulgá-lo publicamente. Lemos todos os relatos e vamos trabalhar com você na correção e em como e quando o problema será divulgado.