Revisamos por dentro as aplicações e APIs que você desenvolve: o desenho, o código e a forma como são construídas e publicadas. Os achados vêm com a linha de código, o risco e a correção, escritos para os desenvolvedores que vão fazê-la.
Em resumo
Scanners automáticos acham parte dos problemas, e um firewall na frente da aplicação bloqueia parte dos ataques. Falhas de lógica de negócio e de autorização, como um cliente conseguir ler os dados de outro, são encontradas lendo o desenho e o código.
Com acesso ao código, uma revisão encontra mais em menos tempo do que um teste por fora, e cada achado aponta o lugar exato a mudar.
Verificações que faltam e deixam um usuário ler ou alterar registros de outro cliente trocando um identificador.
Endpoints que verificam quem você é, mas não o que você pode fazer.
Senhas, chaves e tokens gravados no repositório ou enviados ao navegador.
Dados de fora que chegam a uma consulta ao banco, a um comando ou a um template sem tratamento seguro.
Uploads e downloads que deixam alguém guardar ou ler arquivos que não deveria.
Componentes de terceiros com vulnerabilidades conhecidas e correção disponível.
Com os seus arquitetos e desenvolvedores, desenhamos como os dados passam pelo sistema e perguntamos, em cada etapa, o que pode dar errado e o que impede.
Olhamos as decisões que custam caro para mudar depois: como usuários e serviços se autenticam, como os clientes são separados, como os segredos são guardados e como os dados são criptografados.
Combinamos análise automática com leitura manual das partes que mais importam: autenticação, autorização, pagamentos, manipulação de arquivos e tudo que recebe dados de fora.
Revisamos como o código chega à produção, porque um pipeline comprometido pode publicar qualquer coisa.
Uma revisão é dimensionada pelo tamanho do código e pelo número de funcionalidades. Passamos um preço fechado depois de uma conversa curta e de uma olhada no repositório.
Combinamos as aplicações, os repositórios e as funcionalidades que mais importam, e assinamos um acordo de confidencialidade.
Modelamos as ameaças, lemos o desenho e o código e confirmamos cada achado antes de reportá-lo.
Apresentamos os achados aos seus desenvolvedores, com o local no código, o risco e a correção recomendada.
Depois que o seu time corrige os achados, conferimos cada correção e atualizamos o relatório.
Os repositórios do escopo, com acesso que você concede e remove.
Diagramas ou uma apresentação de como o sistema é construído e publicado.
Um ambiente fora da produção e contas de teste com papéis diferentes.
Alguém que responda perguntas sobre o código durante a revisão.
Escolha pelo quanto da aplicação você quer revisar e com que frequência.
| Opção | Indicado para | O que inclui |
|---|---|---|
| Revisão focada | Uma funcionalidade nova ou uma área sensível, como pagamentos ou login | Modelagem de ameaças e revisão de código daquela área, relatório e novo teste |
| Revisão completa | Uma aplicação antes de um lançamento, de uma auditoria ou de um cliente grande | Modelagem de ameaças, revisão de arquitetura e de código da aplicação inteira, relatório e novo teste |
| Programa de desenvolvimento seguro | Times que publicam com frequência e querem manter o código seguro | Revisão das mudanças importantes, verificações de segurança no pipeline e treinamento para desenvolvedores |
Sob acordo de confidencialidade, com acesso somente leitura que você concede e remove. O código é revisado no seu repositório ou num ambiente isolado e não é guardado depois do trabalho.
As linguagens e frameworks web e de back-end mais comuns, como Python, Go, Java, JavaScript e TypeScript, PHP e C#. Diga a sua stack no escopo e confirmamos.
Este serviço revisa o desenho e o código. Diga no escopo se você também precisa testar a aplicação em funcionamento, e conversamos sobre a melhor opção com você.
Respondemos com algumas perguntas sobre o escopo e depois enviamos uma proposta com datas e preço.