Pentest Black Box em SaaS

Buscamos profissional especializado em Pentest de aplicações SaaS, na modalidade Black Box, para avaliar a segurança da nossa plataforma. O objetivo é identificar e validar vulnerabilidades na aplicação Web e nas APIs, simulando a perspectiva de um atacante externo, sem acesso ao código-fonte.

Escopo esperado:
- Testes de segurança na aplicação Web e em APIs/endpoints expostos.
- Avaliação de autenticação, autorização e controle de acesso.
- Verificação de escalação de privilégios, exposição de informações e manipulação de parâmetros.
- Testes de lógica de negócio e demais vetores de ataque aplicáveis.
- Avaliação com base no OWASP Top 10 e, quando aplicável, no OWASP API Security Top 10.

Relatório e entregáveis:
- Relatório formal contendo, no mínimo, escopo avaliado, período de execução, metodologia, vulnerabilidades identificadas, classificação de severidade, evidências técnicas, impacto e recomendações de correção.
- Rastreabilidade dos testes e possibilidade de reprodução dos achados, incluindo a identificação do profissional ou empresa responsável pelo assessment.
- O responsável deverá possuir certificação profissional reconhecida em segurança ofensiva/Pentest, válida quando aplicável, e apresentar sua comprovação.
- O relatório deverá identificar o responsável técnico e conter assinatura ou outro mecanismo de validação de autenticidade.
- Não buscamos apenas uma varredura automatizada. As vulnerabilidades deverão ser analisadas e validadas tecnicamente.

Reteste:
- Informar se está incluído no valor contratado um reteste das vulnerabilidades após a aplicação das correções, em até 90 dias da entrega do relatório original.
- O reteste deverá incluir a validação das correções e a atualização do status dos achados em relatório complementar.
- Caso não esteja incluído, informar o custo adicional.

Ao enviar sua proposta, informe:
- Metodologia utilizada.
- Escopo e cobertura previstos.
- Entregáveis e formato dos relatórios.
- Prazo estimado para execução.
- Valor total do serviço.
- Se o reteste em até 90 dias está incluído.
- Certificações profissionais aplicáveis e respectivas comprovações.
- Experiência anterior com Pentest de aplicações SaaS, Web e APIs.
- Exemplo anonimizado de relatório anterior, se disponível.

Os testes serão realizados exclusivamente nos ambientes e ativos previamente autorizados, conforme o escopo acordado.