Um processo documentado, não uma caixa negra.
Cada projeto segue o mesmo percurso, e cada passo fica documentado — o que estava no âmbito, o que foi executado, quem aprovou e se a correção resistiu.
Quatro passos, por ordem.
- 01
Âmbito e assinatura
Acordamos o perímetro e as Regras de Compromisso por escrito antes de tocar em nada — alvos, janelas, técnicas permitidas, contactos de emergência de ambas as partes.
A propriedade prova-se, não se afirma: um registo DNS-TXT que colocas tu, ou uma autorização assinada em arquivo.
- 02
Teste e avaliação
Trabalhamos dentro dessa fronteira e em mais lado nenhum. As passagens automáticas encontram o conhecido; os nossos engenheiros vão atrás das falhas de lógica, autorização e encadeamento que nenhum scanner alcança.
Avaliação, não exploração — paramos na prova, nunca no dano.
- 03
Relatório, duas vezes
Um relatório técnico com pontuações CVSS, provas e passos de reprodução para os teus engenheiros, e um resumo executivo claro para quem assina o orçamento.
Ambas as metades estão em cada relatório — incluindo o que foi testado e resistiu.
- 04
Retest e debrief
Depois de remediares, testamos de novo a mesma constatação e registamos se a correção resistiu. Depois uma chamada em direto com a tua equipa técnica para a rever.
Uma constatação é fechada quando um retest o diz, não quando um ticket é marcado como feito.
Porque é seguro deixar-nos entrar.
Nada corre sem um sim humano
Cada comando ativo é aprovado por um operador antes de sair, mesmo num alvo cuja propriedade já verificámos por DNS.
Os resultados são revistos antes de os veres
As constatações são retidas numa porta de revisão. Um membro da equipa liberta-as, por isso nunca recebes um resultado automático não verificado.
Tiramos os mínimos dados que o provam
Uma vulnerabilidade é demonstrada com a menor amostra possível, mascarada. Não extraímos bases de dados para provar um ponto.
Tudo fica registado
Âmbito, autorização, cada comando proposto e aprovado, cada artefacto criado e removido. O rasto de auditoria é o produto, não um subproduto.
Vê o que resulta disto.
Cada projeto termina no mesmo relatório. Isto é o que contém.