PTaaS (Pentest as a Service) é pentest contínuo: sua superfície fica sob observação o ano inteiro, cada ciclo aprofunda um alvo e o reteste é sob demanda, não no próximo contrato. A varredura roda 24/7, mas nenhum achado chega até você sem passar por um pentester.
Ciclos recorrentes · Reteste sem limite · Achado validado e assinado por humano
Um pentest pontual mede o sistema que existia no dia em que ele foi feito. Depois vieram trinta deploys, dois endpoints novos, um subdomínio de homologação que ninguém desligou e uma integração que passou a aceitar token de terceiro. Nada disso foi testado, e o relatório continua dizendo que está tudo bem.
Não é o dia do teste que importa, são os meses depois dele. Comparação dos dois modelos ao longo de um ano, com o teste inicial no mesmo ponto.
Rodamos pipeline próprio de reconhecimento e varredura o tempo todo, é ele que garante que nada da sua superfície fique sem olhar entre um ciclo e outro. Mas o que chega até você passou por um pentester: quem reproduz, mede o impacto real no seu negócio e assina o relatório é gente.
No estudo do Stanford sobre agentes autônomos em rede real (ARTEMIS, dez/2025, ~8.000 hosts), o melhor agente ficou em segundo lugar no geral e ainda assim não encontrou um RCE que 80% dos pentesters humanos encontraram. E em jan/2026 o projeto curl encerrou seu programa de bug bounty depois que a taxa de relatórios válidos caiu de mais de 15% para menos de 5%, afogada em submissões geradas por IA.
A conclusão prática é a mesma nos dois casos: extensão sem julgamento vira ruído, e ruído custa o tempo do seu time de desenvolvimento. Usamos automação para não deixar nada sem olhar. Usamos gente para dizer o que é verdade.
alert(1) prova a injeção. Não prova o impacto.
Recorte do console em uma virada de ciclo: o que a varredura contínua encontrou de novo na superfície, e o que virou achado depois de passar pela validação humana.
| Ativo | Tipo | Delta | O que encontramos |
|---|---|---|---|
| api-staging.cliente.com.br | Subdomínio | Novo | Homologação exposta na internet com base de produção. Alerta fora de ciclo, reportado em 4h. |
| /api/v2/transfers/{id} | Endpoint | Novo | BOLA: o token do usuário A lê a transferência do usuário B. Reproduzido e assinado por pentester. |
| cdn.cliente.com.br | Registro DNS | Alterado | CNAME aponta para bucket desprovisionado. Risco de subdomain takeover, confirmado em laboratório. |
| login.cliente.com.br | Aplicação | Alterado | Novo fluxo de MFA publicado no último deploy. Entrou na fila de teste manual do ciclo 07. |
| vpn.cliente.com.br | Serviço | Removido | Concentrador desligado após o ciclo 05. Saiu do escopo, permanece no histórico. |
Não vendemos por hora nem por quantidade de IP. O que muda entre os formatos é quanto da sua superfície fica sob observação e com que profundidade cada ciclo entra.
Para quem tem um produto e precisa manter o pentest vivo entre uma auditoria e outra.
Para produto em evolução rápida, com deploy frequente e time de desenvolvimento próprio.
Para quem responde a regulador, a cliente enterprise ou a conselho, e precisa provar postura o ano inteiro.
Cada contrato é orçado sobre o escopo real: setor, porte, volume de endpoints e criticidade do dado. Não publicamos tabela porque não existe preço honesto antes de olhar o ambiente. Na primeira conversa você sai com a faixa.
PTaaS é o lado ofensivo, contínuo. Ele acha, prova e valida a correção. Ele não escreve o seu código e não coloca barreira nenhuma no ar. Muita empresa contrata só isso, porque já tem time para corrigir. Se o que você precisa é que alguém também implante a proteção, o serviço é outro, e a gente diz isso na primeira reunião.
A regra da casa continua valendo: WAF não corrige IDOR. Achado fechado no relatório não é risco fechado no código, e nós não vendemos um pelo outro.