Vou fazer avaliações de vulnerabilidade e testes de penetração no seu sistema

Não. Eu sigo métodos de teste controlados e não destrutivos e sempre concordo com uma janela de teste e regras de engajamento antes. Para qualquer coisa potencialmente arriscada (por exemplo, testes do tipo DoS), pedirei permissão explícita primeiro ou excluirei do escopo completamente.

Ambientes de staging/teste são fortemente preferidos para evitar qualquer risco aos usuários ou dados ao vivo. Se apenas o produção estiver disponível, tomarei precauções extras e explicarei claramente os riscos com você antes de começar.

Apenas sua(s) URL(s) alvo ou faixa de IP, autorização escrita confirmando que você é proprietário ou tem permissão para testar o sistema, e qualquer contexto relevante (pilha tecnológica, credenciais de login para testes autenticados, áreas específicas de preocupação).

Somente se você desejar testes autenticados (testar o que um usuário logado pode acessar/explorar) — isso é altamente recomendado, pois muitas vulnerabilidades reais só aparecem após login. Testes não autenticados também estão disponíveis, mas cobrem menos terreno.

Um relatório detalhado incluindo um resumo executivo (para stakeholders não técnicos), descobertas técnicas com classificações de severidade CVSS, evidências de prova de conceito para cada vulnerabilidade e passos claros de remediação.

Com certeza. Estou disposto a assinar um NDA antes de qualquer trabalho começar, e todos os dados/evidências de teste são tratados de forma segura e deletados ou devolvidos conforme sua solicitação após o engajamento.

Nenhum testador ético pode prometer isso — segurança é contínua, não uma correção única. O que eu garanto é uma avaliação completa e honesta do seu risco atual e orientações claras para reduzi-lo significativamente.

Sim, desde que você seja proprietário do sistema ou tenha autorização escrita explícita para testá-lo. Exijo essa confirmação antes de qualquer engajamento — isso protege ambos.