Orçamentos de segurança web: compare o escopo antes do preço

Um site inclui o portal do cliente?

Imagine um site institucional, um portal de clientes e uma API em hosts separados. Um orçamento que só menciona o site não esclarece se os outros estão incluídos. É um exemplo de compra, não um caso de cliente. Envie as URLs reais e peça a identificação do alvo incluído por escrito.

Pergunte se serão usadas contas. Examinar páginas públicas e comparar dois perfis de clientes exige acessos e trabalhos distintos. O nome ‘segurança web’ não resolve essa dúvida. Uma verificação pública não determina se um cliente consegue ver pedidos de outro.

Um resultado que o programador possa utilizar

Antes de pagar, peça um relatório de exemplo sem dados sensíveis. Procure o local afetado, condições observadas, evidências com valores ocultos, impacto possível e correção sugerida. Uma captura sem condições pode ser difícil de reproduzir. Uma longa lista de alertas pode deixar a triagem de falsos positivos para o programador.

O exemplo também deve mostrar o que não foi verificado. Pergunte como a incerteza é indicada e quem revê as evidências. Número de páginas ou falhas não substitui essas respostas. Mesmo sem vulnerabilidades encontradas, o resultado deve registrar escopo e limitações; não certifica todo o sistema.

O que a verificação Mingxi de US$120 cobre

O pacote examina um alvo público acordado, site ou API, sem login. Subdomínios, outras aplicações e ativos adicionais não entram automaticamente. Abrange exposição pública acordada, configuração básica e riscos comuns verificáveis, com revisão de evidências, gravidade e recomendações por um engenheiro. Código-fonte, funções autenticadas, múltiplos perfis e lógica de negócio ficam excluídos.

O PDF segue por e-mail no idioma acordado. Os dois dias úteis começam após confirmar propriedade, autorização, escopo, materiais necessários e pagamento. O reteste não está incluído por padrão; escopo e preço são combinados separadamente. Leia o escopo atual antes da compra.

Guarde o acordo junto do relatório

Registre alvo aceito, exclusões, entrega, condições de início e destinatário. Inclua as regras de cancelamento e agendamento realmente acordadas. Não preencha termos ausentes com suposições.

Após corrigir, guarde a versão implantada e o achado correspondente. Pergunte quais evidências um reteste contratado à parte fornecerá. Um novo scan limpo da página inicial não prova que outro endpoint antes afetado foi corrigido.

Lista prática

• Envie as URLs e confirme as exclusões.
• Confirme se serão usadas contas.
• Leia um exemplo e as condições de início.
• Registre reteste e cancelamento antes de pagar.

Pergunta frequente

Uma verificação barata é necessariamente um mau investimento?

Não. Um trabalho pequeno e bem delimitado pode servir a um site público simples. Compare-o com a dúvida de risco que precisa resolver. Não substitui avaliações que exigem contas, código-fonte ou testes de lógica de negócio.