Por que fazer pentest em um SaaS criado com vibe coding
Leitura ~6 min · Atualizado em outubro de 2026
Porque a IA otimiza para o código funcionar, não para resistir a ataque. Autorização, isolamento de banco e segredos ficam fora do caminho feliz. Um pentest de API testa essas três camadas com duas contas e evidência — antes de um cliente B2B descobrir por você.
O que o vibe coding muda
O volume de código cresce e o padrão de falha muda. No relatório de 2026 da Veracode, 44% das tarefas de geração de código produziram código com vulnerabilidade em testes controlados, sem instruções de segurança. Em 2025, a falha de isolamento do Lovable (CVE-2025-48757) expôs 18.697 registros de usuários em mais de 170 apps.
Não é que a IA escreva pior. É que ela entrega o que foi pedido: a tela funcionando. A camada que decide quem pode ver o quê não foi pedida — e, sem revisão, não aparece.
As três falhas que se repetem
1. Autorização quebrada (BOLA/IDOR)
A conta A autentica normalmente. Basta trocar o ID do recurso para receber o dado da conta B. O servidor verifica que existe sessão, mas não que aquele recurso pertence a quem chamou.
GET /api/items/42 HTTP/2
Authorization: Bearer <token da conta A>
200 · item da conta B2. Banco sem isolamento por registro
A chave usada pelo front é pública por design. O que separa “funciona” de “exposto” é a política que decide quais linhas cada usuário vê — e ela costuma não existir.
GET /rest/v1/profiles?select=* HTTP/2
apikey: <chave pública do app>
200 · 12.481 linhas · e-mails e telefones3. Chave de administrador no bundle
A credencial que ignora as regras vai para o JavaScript público. Não precisa de ataque: está na aba Network, copiável por qualquer visitante.
const key = "eyJhbGciOiJIUzI1NiJ9...";
// payload decodificado: { "role": "service_role" }Os sete padrões que se repetem estão detalhados, com request e resposta, em padrões de falha em APIs de vibe coding.
Por que scanner não basta
Scanner lê sintaxe e configuração. Não executa a API com dois usuários, não troca o ID de um recurso e não testa o fluxo de aprovação. As falhas mais caras do vibe coding aparecem justamente aí: comportamento, não texto.
Configuração o scanner encontra. Autorização e lógica só aparecem quando alguém tenta.
Pentest de API para apps de vibe coding: o que muda
O processo segue o PTES e as classes do OWASP API Security Top 10 (2023): planejamento e escopo, reconhecimento, autenticação, autorização, entrada e lógica, relatório. No Na Metodologia Express, as fases 1 a 4 e a entrega da fase 6 rodam em 48h; fuzzing profundo e GraphQL entram conforme o escopo.
São 20 verificações, com duas contas reais e evidência reproduzível. O detalhe está em metodologia e o que testamos.
Quanto custa e quanto tempo leva
O valor é fechado na call de escopo, com proposta escrita em 24h — nada é cobrado antes. A Metodologia Express entrega em 48h: laudo com evidência, remediação escrita e bloco de respostas para o questionário do cliente. Não inclui acesso ao repositório, correção em pull request, suíte no CI nem re-scan.
Para entender o que muda o valor, veja como definimos o orçamento.
Quando não contratar
- Protótipo sem usuário e sem dado pessoal: o risco é teórico.
- Você não pretende corrigir: o laudo vira arquivo.
- O cliente exige certificação: pentest não emite SOC 2 nem ISO 27001.
- Alguém quer testar alvo de terceiro sem autorização: isso não é pentest.
Checklist antes de decidir
Se você marcou três ou mais itens do checklist de 12, o teste se paga antes do primeiro cliente. Chave no bundle, rota sem sessão e banco exposto são os mais comuns.
LGPD em três linhas
Dado pessoal exposto é incidente de segurança, com dever de comunicação à ANPD e ao titular quando houver risco relevante (LGPD, art. 48). O laudo é evidência técnica do que foi testado e corrigido — não é certificação nem parecer jurídico.
