Autorização, escopo e ética
As técnicas de um pentester e de um atacante se sobrepõem. O que muda é a autorização por escrito, um escopo acordado e o dever de minimizar danos.
A autorização vem primeiro
Testar um sistema que não é seu, ou além do que o dono permitiu, pode ser crime na maioria das jurisdições, independentemente da sua intenção. As leis variam por país e podem ser rígidas, então isto não é aconselhamento jurídico: confirme com um advogado. A regra profissional é simples. Nunca teste nada sem permissão explícita e por escrito de alguém com autoridade para concedê-la, e nunca vá além do que essa permissão cobre.
- Autorização por escrito do dono do ativo (para hospedagem de terceiros ou nuvem, verifique também a política de testes do provedor).
- Um escopo definido: quais sistemas, endereços, aplicações e contas estão dentro e quais estão explicitamente fora.
- Uma janela de tempo e uma forma de parar: quando os testes podem ocorrer e quem pode interrompê-los imediatamente.
- Um contato nomeado do lado do cliente que possa ser acionado se algo der errado.
Regras de engajamento
As (RoE) transformam a permissão em limites práticos. Combine-as antes do primeiro pacote.
engagement: avaliação externa de web e API do Q4
authorized_by: "CISO, Example Corp (carta assinada em anexo)"
window: { start: 2026-11-02T08:00:00Z, end: 2026-11-13T20:00:00Z, hours: "apenas dias úteis" }
in_scope:
- https://app.example.com
- https://api.example.com/v2/*
- contas de teste: [tester-a@example.com, tester-b@example.com]
out_of_scope:
- processador de pagamentos de produção (terceiro)
- testes de negação de serviço
- engenharia social de funcionários
constraints:
- sem exfiltração de dados além da prova de acesso (um registro, ocultado)
- limitar varreduras a 10 requisições por segundo
- parar e ligar para o contato se houver degradação em produção
emergency_contact: "+55 11 5555-0100 (SOC 24h)"
reporting: "achados críticos reportados em até 24 horas; relatório final em 10 dias úteis"Princípios éticos
- Minimize os danos: prove o problema com o menor acesso necessário. Não leia, copie nem guarde dados reais de clientes de que você não precisa.
- Proteja o que encontrar: os achados e quaisquer dados tocados são confidenciais, armazenados criptografados e apagados no fim, conforme combinado.
- Seja honesto no relatório: não exagere nem esconda nada, incluindo seus próprios erros (por exemplo, um teste que causou uma indisponibilidade).
- Pare no limite: se um caminho levar para fora do escopo, peça permissão em vez de continuar.
- Prefira provas seguras: demonstre o impacto com um marcador inofensivo ou a leitura de um registro de teste, não com ações destrutivas.
Bug bounties e divulgação
Um programa de bug bounty publica um escopo e regras e convida pesquisadores a testar dentro deles, em geral com recompensas; os termos do programa são a sua autorização, e sair deles a remove. Quando você encontra uma vulnerabilidade em um sistema fora de qualquer programa, reporte-a com responsabilidade pelo canal de divulgação do dono (um arquivo security.txt, um endereço security@ ou uma política de ), dê um prazo razoável para a correção e não a explore mais nem publique detalhes antes da hora.
conexões no mapa
- Autorização, escopo e éticadelimitaMetodologia de teste de intrusão
atualizado em 14/10/2026 · fontes para aprofundar · reportar erro
Desbloqueia
teste o que entendeu
Carregando perguntas…