Scanner, pentest ou bug bounty? O que cada um encontra, o que cada um custa e quando combinar
As três abordagens não competem — cobrem riscos diferentes. Um guia direto para decidir onde colocar o orçamento de segurança ofensiva, com o que cada uma entrega de verdade e os erros de quem escolhe só uma.
A pergunta errada
"A gente já tem scanner, precisa de pentest?" ou "Bug bounty não substitui pentest?" são perguntas que ouvimos toda semana. A resposta honesta: são ferramentas para riscos diferentes, e a empresa madura usa as três — em proporções que dependem do estágio dela. O erro é achar que uma cobre a outra.
O que cada abordagem realmente encontra
Scanner (DAST/SAST/SCA)
Automatiza a busca por padrões conhecidos: versões vulneráveis, headers ausentes, injeções óbvias, configurações inseguras. Roda toda noite, custa pouco por execução, é indispensável como higiene.
O que não faz: entender lógica de negócio, encadear falhas, testar autorização entre usuários, avaliar um agente de IA. Produz falsos positivos que consomem horas do time e falsos negativos que dão sensação falsa de segurança. Nos nossos pentests, a maioria dos achados críticos está em categorias que scanner não detecta por construção: BOLA, abuso de lógica, race conditions, prompt injection.
Pentest manual
Um especialista, com escopo e tempo definidos, tenta comprometer o alvo como um atacante faria — mas documentando cada passo. Encontra o que exige criatividade e contexto: "o cupom pode ser aplicado duas vezes se as requisições forem simultâneas", "o UUID do cliente vaza no webhook e abre a fatura de qualquer um".
Entrega evidência (PoC reproduzível), classificação de risco de negócio, plano de correção e reteste. É o formato que auditorias (PCI DSS, ISO 27001, SOC 2, BACEN) e clientes enterprise exigem. Limitação: é uma fotografia — cobre o escopo daquele período.
Bug bounty
Centenas de pesquisadores independentes, pagos por resultado, testando continuamente. Excelente para superfície pública grande e para descobrir o que ninguém pensou. Encontra coisas que pentest não encontra, pelo volume e pela diversidade de olhares.
Limitações que costumam ser subestimadas: não há garantia de cobertura (ninguém é obrigado a testar o fluxo chato), não serve como evidência de auditoria, exige time interno para triagem (o volume de relatórios duplicados e inválidos é grande), e expõe a aplicação a testes não coordenados — o que em ambientes regulados ou com dados sensíveis é um problema. E o custo é imprevisível: uma crítica pode custar mais que um pentest inteiro.
Comparação direta
| Critério | Scanner | Pentest | Bug bounty |
|---|---|---|---|
| Lógica de negócio e autorização | Não | Sim | Parcial |
| Cobertura garantida do escopo | Sim (superficial) | Sim | Não |
| Evidência para auditoria/cliente | Não | Sim | Não |
| Sistemas de IA / agentes | Não | Sim | Raro |
| Continuidade | Diária | Pontual | Contínua |
| Custo | Baixo e fixo | Médio e fixo | Variável |
| Esforço interno | Triagem de falsos positivos | Baixo | Alto (triagem) |
| Ambientes regulados | Ok | Ok | Cuidado |
Quando usar cada um
- Toda empresa com software exposto: scanner na CI/CD desde o primeiro dia. Não é opcional.
- Antes de um lançamento, auditoria, contrato enterprise ou depois de mudança grande: pentest. É o único dos três que gera o documento que essas situações pedem.
- Aplicação madura, com time de segurança para triagem, superfície pública grande e sem restrição regulatória forte: bug bounty como camada contínua — depois do pentest ter tirado o óbvio, senão você paga bounty pelo que um pentest encontraria por preço fixo.
Os erros mais comuns
- Scanner com logo de consultoria vendido como pentest. Se o relatório não tem PoC manual e encadeamento, é scan. Pergunte quantas horas de teste manual estão no escopo.
- Bug bounty antes de pentest. Resultado: pagar por dezenas de achados simples e lidar com pesquisadores frustrados com duplicatas.
- Pentest anual como único controle. Doze meses é tempo demais entre fotografias; combine com scanner contínuo e pentests por mudança relevante.
- Ignorar IA. Nenhuma das três cobre chatbots e agentes por padrão; pentest de IA/LLM é escopo explícito.
Um modelo prático por estágio
- Startup / produto novo: scanner na CI + pentest antes do go-live e antes do primeiro cliente grande.
- Scale-up regulada (fintech, health): scanner + pentest semestral ou por release crítico + pentest de IA quando houver assistente em produção. Bug bounty privado apenas com time de triagem.
- Enterprise: scanner + programa de pentest por criticidade (trimestral nos sistemas core) + bug bounty público como camada adicional.
Como a Pentest Machine testa isso
Fazemos a parte que scanner e bounty não fazem: teste manual por especialistas sêniores, acelerado por IA e tooling próprio para cobrir mais superfície no mesmo tempo, com relatório executivo + técnico, PoC para cada achado e reteste incluso. Se você já tem scanner e está avaliando bounty, um pentest antes é o que torna o bounty barato.