Depois de um pentest, você recebe um relatório técnico detalhado. Mas a LDL Security também emite um certificado de pentest, um documento formal que pode ser apresentado a clientes, parceiros e auditorias, e que qualquer pessoa consegue validar no nosso site.
O Que É o Certificado de Pentest?
O certificado de pentest da LDL Security é um documento que atesta que seu sistema, aplicação ou infraestrutura passou por uma avaliação de segurança realizada por profissionais certificados. Ele inclui:
- Identificação do sistema testado
- Escopo e metodologia utilizada
- Data de realização do teste
- Nome e credenciais dos especialistas
- Resultado geral (conformidade com o escopo testado)
Certificado, Relatório e Sumário Executivo: Para Que Serve Cada Um
| Documento | Para quem | O que mostra |
|---|---|---|
| Relatório técnico | Time de desenvolvimento e infraestrutura, auditor | Cada vulnerabilidade com evidência, severidade, passo a passo e correção |
| Sumário executivo | Diretoria e gestores | Visão do risco em linguagem de negócio e prioridades |
| Certificado | Clientes, parceiros, compradores | Que o teste foi feito, em qual escopo e em que data, sem expor as falhas |
A diferença importa: o relatório técnico descreve como explorar as falhas encontradas e não deve circular fora da empresa. O certificado existe justamente para que você comprove o teste sem entregar esse mapa a terceiros.
Por Que Seus Clientes Se Importam
Empresas B2B cada vez mais exigem comprovação de segurança de seus fornecedores. Se você processa dados de clientes, acessa sistemas deles ou armazena informações sensíveis, um certificado de pentest é uma prova concreta de que você leva segurança a sério.
Casos de uso comuns:
- Responder a questionários de due diligence de clientes enterprise
- Atender exigências de licitações públicas
- Demonstrar conformidade com cláusulas de contrato de fornecimento
- Fortalecer sua posição em negociações com clientes de grande porte
No caso dos questionários, o certificado responde de uma vez à pergunta "a aplicação passou por teste de intrusão independente nos últimos 12 meses?". O texto como um SaaS responde ao questionário de segurança do cliente mostra onde ele entra no meio das outras evidências.
Como Usar o Certificado no Processo de Venda
- Na proposta comercial: anexe o certificado e o link de validação junto da documentação técnica, antes que o cliente precise pedir.
- Na página de segurança do seu site: muitas empresas mantêm uma página com políticas, certificações e contato de segurança. O certificado e o link de validação entram ali.
- No questionário de segurança: use o certificado como evidência na pergunta sobre teste de intrusão independente e ofereça o sumário executivo se o cliente quiser mais detalhe.
- Na renovação de contratos: clientes que pediram o teste no primeiro ano tendem a pedir de novo. Ter o certificado do ciclo atual evita correria na renovação.
Se o cliente pedir o relatório técnico completo, avalie com cuidado: ele descreve as falhas e como explorá-las. O caminho usual é compartilhar o sumário executivo, sob acordo de confidencialidade, e comprovar com o reteste que os achados relevantes foram corrigidos.
Quem Pode Usar o Certificado?
Qualquer empresa que tenha passado por um pentest formal com a LDL Security recebe o certificado. Ele é nominativo para o sistema testado: não é um certificado genérico da empresa, mas um documento que diz "esse sistema específico foi testado nessa data".
Como Verificar um Certificado LDL
Certificados LDL Security podem ser verificados em ldlsecurity.com/certificado com o código único de 9 dígitos do documento. A página mostra se o certificado é válido e, em seguida, a empresa, os domínios cobertos, o tipo de serviço e a data de emissão. Isso garante a autenticidade e evita falsificações: um PDF editado não passa na validação.
Quando enviar o certificado a um cliente, mande também o link da página de validação. Muitos times de compras e de segurança conferem, e fazer isso por conta própria passa confiança.
O Que o Certificado Não Diz
- Não diz que o sistema é invulnerável. Ele comprova que o escopo foi testado em uma data. Falhas que surgirem depois, com código novo ou configuração nova, não estão cobertas.
- Não cobre o que ficou fora do escopo. Um certificado de pentest da aplicação web não diz nada sobre a rede interna ou o aplicativo mobile.
- Não substitui o relatório numa auditoria. Auditores de normas como ISO 27001, PCI DSS e SOC 2 costumam pedir o relatório e a evidência de correção.
Certificado é Suficiente para Compliance?
O certificado é um componente do processo de compliance, não a totalidade. Para LGPD, PCI DSS ou ISO 27001, você precisa do relatório técnico completo e, em muitos casos, de evidências de que as vulnerabilidades foram corrigidas, que é o papel do reteste. O certificado serve como resumo para terceiros; o relatório é o que passa na auditoria.
Quando Renovar
O mais comum é refazer o pentest uma vez por ano e sempre que houver mudança grande, como uma nova versão da aplicação, uma migração de infraestrutura ou uma integração nova. Clientes e contratos costumam aceitar teste dos últimos 12 meses, e algumas normas, como o PCI DSS, fixam esse intervalo por escrito.
Perguntas Frequentes
Posso publicar o certificado no meu site?
Pode. Ele foi feito para ser mostrado a terceiros e não expõe vulnerabilidades. Publique junto o link da página de validação para que qualquer visitante confira a autenticidade.
O certificado vale para outros sistemas da empresa?
Não. Ele vale para o sistema e o escopo testados. Se a empresa tem outros sistemas expostos, cada um precisa do próprio teste para ser coberto.