Hardening e correção do OWASP Top 10

O pentest descobre e comprova falhas explorando o sistema como um atacante. O hardening corrige essas falhas na origem e revisa o que o teste não alcança, como configuração de servidor, permissões de banco e dependências. A sequência mais comum é pentest, hardening e reteste.

É a lista dos dez riscos mais relevantes em aplicações web, mantida pela OWASP a partir de dados de vulnerabilidades reais. A edição de 2025 analisou cerca de 175 mil CVEs e incluiu duas categorias novas: falhas na cadeia de suprimentos de software e tratamento incorreto de condições excepcionais. Clientes corporativos e auditores costumam usar essa lista como base de questionário, o que facilita demonstrar o trabalho feito.

Não é obrigatório. Sem pentest, o trabalho começa por um diagnóstico de configuração, dependências e código, e as correções seguem a ordem de risco. Com um pentest recente, as correções partem de falhas comprovadas, o que ajuda a priorizar. Nos dois casos, o reteste no fim confirma que as correções funcionam.

Com autorização, sim, em branch separada e com revisão da sua equipe antes de ir para produção. Cada alteração fica registrada com o motivo. Se preferir, entregamos as correções documentadas para a sua equipe aplicar.

Algumas podem. Uma Content-Security-Policy mais restrita, por exemplo, pode bloquear um script legítimo de analytics ou de pagamento. Por isso aplicamos primeiro em modo de relatório, observamos o que seria bloqueado e só então ativamos o bloqueio. Mudanças de permissão no banco passam pelo mesmo cuidado, com teste em homologação antes de produção.

Cobre as camadas combinadas no escopo: aplicação, banco de dados, servidor, serviços de nuvem, armazenamento de arquivos e esteira de deploy. Para servidores e contas de nuvem, os CIS Benchmarks servem de referência de configuração. Uma aplicação bem escrita pode ficar exposta por um bucket público ou um banco acessível pela internet, e por isso essas camadas são revisadas juntas.

Continua enquanto nada mudar, e em sistema ativo quase tudo muda: dependências ganham vulnerabilidades novas, deploys trazem configuração nova, integrações entram. Para evitar que as falhas voltem, deixamos um checklist de configuração segura e, quando possível, verificações automáticas na esteira de deploy. Empresas com desenvolvimento contínuo costumam manter a revisão em contrato mensal.

Acesso de leitura ao repositório, à configuração de hospedagem e ao banco de homologação, além de um contato técnico que conheça a arquitetura. Relatório de pentest, questionário de cliente ou exigência de auditoria ajudam a definir a prioridade. Credenciais de produção só são necessárias se as correções forem aplicadas por nós.