Início/Escopo e sigilo
// Escopo, autorização e NDA
"Como confiar em quem sabe invadir?"
É a pergunta certa — e a resposta não é discurso, é contrato. Nada começa sem autorização por escrito, escopo delimitado e acordo de confidencialidade assinado pelos dois lados.
// As três peças
O que se assina antes de qualquer acesso.
Nenhum teste começa sem os três. Se um fornecedor te oferecer pentest sem isso, é sinal de alerta.
Termo de autorização de testeAssinado por quem tem poder para autorizar. Define alvos, janelas de horário, técnicas permitidas e proibidas, e o contato de emergência dos dois lados.
Acordo de confidencialidade (NDA)Mútuo. Cobre tudo que a Praetor vir durante o trabalho e também o que você nos contar na fase comercial — inclusive se o contrato não avançar.
Anexo de escopo técnicoA lista exata de domínios, faixas de IP, aplicações e credenciais de teste. O que não estiver nesta lista não é tocado.
Quer ver os modelos antes de conversar?
A gente envia os três documentos em branco, sem compromisso, para o seu jurídico avaliar.
Pedir os modelos →
// A linha
O que fazemos e o que nunca fazemos.
A diferença entre um teste profissional e um incidente é exatamente esta lista.
| Situação | A Praetor faz | A Praetor não faz |
|---|---|---|
| Prova de acesso | Extrai o mínimo necessário para comprovar (ex.: 5 registros) | Baixar a base inteira porque foi possível |
| Disponibilidade | Testa dentro da janela combinada | Negação de serviço ou teste de carga sem pedido explícito |
| Dados | Anonimiza tudo no relatório | Guardar dado pessoal de cliente seu fora do dossiê cifrado |
| Pessoas | Phishing simulado, se contratado e avisado à liderança | Enganar colaborador sem autorização prévia |
| Achado crítico | Avisa no mesmo dia, antes do relatório | Guardar para causar impacto na apresentação |
| Terceiros | Reporta o risco vindo de fornecedor | Testar sistema de terceiro sem autorização dele |
| Depois do contrato | Destrói evidências no prazo combinado | Usar seu caso como material de venda sem consentimento |
// As evidências
Onde ficam e por quanto tempo.
Um teste de invasão produz material sensível. Como esse material é guardado importa tanto quanto o teste.
- Cifradas em repouso, em ambiente segregado, com acesso restrito à equipe do projeto.
- Acesso registrado — sabemos quem abriu o quê e quando.
- Prazo definido em contrato, tipicamente 12 meses, para dar suporte à correção e ao reteste.
- Destruição comprovada ao fim do prazo, com termo enviado a você.
- Destruição antecipada se você preferir — basta pedir, sem custo.
- Nada em nuvem pública compartilhada nem em ferramenta de terceiro sem previsão contratual.
E os casos que vocês publicam?
As autópsias deste site são versões anonimizadas: setor, porte e o padrão da falha permanecem; nome, domínio, números e qualquer detalhe identificável não. Publicamos apenas com autorização, e nunca com informação que permita reconhecer a empresa ou reproduzir o ataque em quem ainda não corrigiu.
// Quem toca
Sobre a equipe e a responsabilidade.
Quem executa o teste?
Profissional sênior da Praetor, nomeado no termo de autorização. Você sabe quem está no seu ambiente. Não repassamos execução para terceiros sem sua aprovação por escrito.
E se algo der errado durante o teste?
Existe contato de emergência dos dois lados, disponível durante toda a janela. Ao primeiro sinal de instabilidade a atividade é interrompida e você é avisado — antes de qualquer outra coisa.
Vocês têm seguro ou responsabilidade contratual?
O contrato define limites de responsabilidade e obrigações de ambas as partes. É um dos pontos que o seu jurídico deve revisar — e por isso enviamos os modelos antes de qualquer conversa comercial avançar.
Posso restringir o escopo depois de começar?
Pode, a qualquer momento. Basta comunicar pelo canal definido: a atividade sobre aquele alvo para na hora e isso fica registrado no relatório.
// Sem compromisso
Comece pedindo os documentos.
Enviamos o termo de autorização, o NDA e o anexo de escopo em branco para o seu jurídico avaliar antes de qualquer conversa sobre preço.