10 perguntas para fazer antes de contratar um pentest (e as respostas que desqualificam o fornecedor)

Por que propostas de pentest são difíceis de comparar

Três propostas, três preços, todas prometem "teste de intrusão completo alinhado ao OWASP". A diferença entre R$ 8 mil e R$ 80 mil quase nunca está no PDF — está em quem executa, quanto tempo dedica, e o que entrega quando acaba. Estas dez perguntas expõem essa diferença antes de assinar.

1. Quem vai executar o teste, nominalmente?

Peça nomes, certificações (OSCP, OSWE, OSEP, CRTO, BSCP) e histórico público (CVEs, bug bounty, palestras). Desqualifica: "nossa equipe certificada" sem nomes, ou o vendedor não saber responder. Pentest é serviço de pessoa, não de empresa.

2. Quantas horas ou dias de teste manual estão no escopo?

Um web app médio exige de 5 a 15 dias de um especialista. Desqualifica: "2 dias" para uma aplicação com 40 telas e API — isso é scanner com revisão rápida.

3. Qual metodologia e como ela aparece no relatório?

OWASP WSTG, ASVS, PTES, NIST SP 800-115, OWASP LLM Top 10 para IA. Desqualifica: citar a metodologia só na proposta; o relatório precisa mostrar as fases cobertas e o que não foi testado.

4. Black, grey ou white-box — e por quê?

Para a maioria das aplicações, grey-box (com credenciais de usuário comum e admin) encontra mais em menos tempo. Black-box puro costuma ser pedido por quem quer "simular um atacante" mas paga por recon que poderia pular. Desqualifica: o fornecedor não perguntar o que você quer provar.

5. O que acontece quando encontram algo crítico no meio do teste?

Resposta certa: alerta em até 24 horas, com PoC, sem esperar o relatório final. Desqualifica: "tudo vai no relatório ao fim".

6. Posso ver um relatório de exemplo (anonimizado)?

Procure: sumário executivo legível por diretoria, achados com evidência reproduzível (request/response, passos), CVSS e risco de negócio, recomendação com referência. Desqualifica: recusar mostrar, ou o exemplo ser saída de ferramenta formatada.

7. O reteste está incluso? Em que prazo?

Padrão de mercado: reteste incluso, dentro de 60 a 90 dias, com atestado final. Desqualifica: cobrar o reteste como serviço separado sem avisar — é aí que o custo real aparece.

8. Como vocês tratam IA, APIs e mobile no mesmo escopo?

Se a aplicação tem chatbot, agente ou API pública, o pentest "web" não cobre. Pergunte se testam prompt injection, abuso de tools, BOLA em APIs, e se isso está no preço. Desqualifica: "a gente roda as mesmas ferramentas".

9. Quais garantias de confidencialidade e como os dados são tratados?

NDA antes do escopo, evidências armazenadas com criptografia e apagadas após prazo definido, acesso restrito à equipe do projeto. Desqualifica: não ter processo.

10. O relatório serve para PCI DSS, BACEN, ISO 27001 ou SOC 2?

Se você vai usar o pentest em auditoria, o relatório precisa da estrutura que o auditor espera (metodologia, escopo, segmentação quando aplicável, reteste documentado). Desqualifica: o fornecedor não saber o que o requisito 11.4 do PCI pede.

Bônus: o que você deve levar para a conversa

Lista de URLs/APIs, diagrama simplificado, tecnologias, se há IA, prazo da auditoria ou do cliente que pediu o teste, e o que aconteceu no último pentest. Quanto mais claro o escopo, mais precisa a proposta — e menor a chance de surpresa.

Como a Pentest Machine responde a essas perguntas

Nomes e certificações na proposta, dias de teste manual explícitos, metodologia nomeada no relatório, alertas críticos em 24h, relatório de exemplo sob NDA, reteste incluso em 90 dias, cobertura de IA/LLM e API no mesmo engajamento, e estrutura pronta para auditoria. Envie o escopo e receba a proposta em 24 horas úteis.