Scanner, pentest ou bug bounty? O que cada um encontra, quanto custa e quando combinar
As três abordagens não competem — cobrem riscos diferentes. Um guia direto para decidir onde colocar o orçamento de segurança ofensiva, com o que cada uma entrega de facto e os erros de quem escolhe só uma.
A pergunta errada
"Já temos scanner, precisamos de pentest?" ou "O bug bounty não substitui o pentest?" são perguntas que ouvimos todas as semanas. A resposta honesta: são ferramentas para riscos diferentes, e a empresa madura usa as três — em proporções que dependem da fase em que está. O erro é achar que uma cobre a outra.
O que cada abordagem encontra realmente
Scanner (DAST/SAST/SCA)
Automatiza a procura de padrões conhecidos: versões vulneráveis, headers em falta, injeções óbvias, configurações inseguras. Corre todas as noites, custa pouco por execução, é higiene indispensável.
O que não faz: perceber lógica de negócio, encadear falhas, testar autorização entre utilizadores, avaliar um agente de IA. Produz falsos positivos que consomem horas da equipa e falsos negativos que dão uma falsa sensação de segurança. Nos nossos pentests, a maioria dos achados críticos está em categorias que o scanner não deteta por construção: BOLA, abuso de lógica, race conditions, prompt injection.
Pentest manual
Um especialista, com âmbito e tempo definidos, tenta comprometer o alvo como um atacante faria — documentando cada passo. Encontra o que exige criatividade e contexto: "o cupão aplica-se duas vezes se os pedidos forem simultâneos", "o UUID do cliente aparece no webhook e abre a fatura de qualquer um".
Entrega evidência (PoC reproduzível), classificação de risco de negócio, plano de correção e reteste. É o formato que auditorias (PCI DSS, ISO 27001, DORA) e clientes enterprise exigem. Limitação: é uma fotografia — cobre aquele âmbito naquele período.
Bug bounty
Centenas de investigadores independentes, pagos por resultado, a testar continuamente. Excelente para superfície pública grande e para descobrir o que ninguém pensou. Encontra coisas que o pentest não encontra, pelo volume e pela diversidade de olhares.
Limitações que costumam ser subestimadas: não há garantia de cobertura (ninguém é obrigado a testar o fluxo aborrecido), não serve como evidência de auditoria, exige equipa interna para triagem (o volume de relatórios duplicados e inválidos é grande) e expõe a aplicação a testes não coordenados — um problema em ambientes regulados ou com dados sensíveis. E o custo é imprevisível: uma crítica pode custar mais do que um pentest inteiro.
Comparação direta
| Critério | Scanner | Pentest | Bug bounty |
|---|---|---|---|
| Lógica de negócio e autorização | Não | Sim | Parcial |
| Cobertura garantida do âmbito | Sim (superficial) | Sim | Não |
| Evidência para auditoria/cliente | Não | Sim | Não |
| Sistemas de IA / agentes | Não | Sim | Raro |
| Continuidade | Diária | Pontual | Contínua |
| Custo | Baixo e fixo | Médio e fixo | Variável |
| Esforço interno | Triagem de falsos positivos | Baixo | Alto (triagem) |
| Ambientes regulados | Ok | Ok | Cuidado |
Quando usar cada um
- Toda a empresa com software exposto: scanner na CI/CD desde o primeiro dia. Não é opcional.
- Antes de um lançamento, auditoria, contrato enterprise ou depois de uma alteração grande: pentest. É o único dos três que gera o documento que essas situações pedem.
- Aplicação madura, com equipa de segurança para triagem, superfície pública grande e sem restrição regulatória forte: bug bounty como camada contínua — depois de o pentest ter retirado o óbvio, senão paga bounties pelo que um pentest encontraria a preço fixo.
Os erros mais comuns
- Output de scanner com logótipo de consultora vendido como pentest. Se o relatório não tem PoC manual nem encadeamento, é um scan. Pergunte quantas horas de teste manual estão no âmbito.
- Bug bounty antes do pentest. Resultado: pagar por dezenas de achados simples e lidar com investigadores frustrados com duplicados.
- Pentest anual como único controlo. Doze meses é demasiado tempo entre fotografias; combine com scanner contínuo e pentests por alteração relevante.
- Ignorar a IA. Nenhuma das três cobre chatbots e agentes por defeito; pentest de IA/LLM é âmbito explícito.
Um modelo prático por fase
- Startup / produto novo: scanner na CI + pentest antes do go-live e antes do primeiro cliente grande.
- Scale-up regulada (fintech, saúde): scanner + pentest semestral ou por release crítica + pentest de IA quando houver assistente em produção. Bug bounty privado apenas com equipa de triagem.
- Enterprise: scanner + programa de pentest por criticidade (trimestral nos sistemas core) + bug bounty público como camada adicional.
Como a Pentest Machine testa isto
Fazemos a parte que o scanner e o bounty não fazem: teste manual por especialistas seniores, acelerado por IA e tooling próprio para cobrir mais superfície no mesmo tempo, com relatório executivo + técnico, PoC para cada achado e reteste incluído. Se já tem scanner e está a avaliar um bounty, um pentest antes é o que torna o bounty barato.