Scanner não encontra nada, então estou seguro?

Não. Ausência de achado em scanner significa que ele não viu o padrão, não que a falha não existe. Autorização quebrada não é um padrão no código: é uma checagem ausente.

Quando o scanner basta?

Para higiene: headers, sourcemaps, segredo no bundle, dependência desatualizada. Como porta de entrada e rotina de CI, ele é útil. Como prova de autorização, não.

O pentest substitui o scanner?

Não. O ideal é o contrário: scanner no pipeline para o que se repete e teste com contexto para o que exige julgamento.

Scanner x pentest de API: o que cada um vê

Leitura ~4 min · Atualizado em outubro de 2026

Scanner lê o que está escrito. Pentest testa o que a API faz quando alguém tenta o que não deveria. A diferença parece pequena até o primeiro caso de um usuário lendo o dado de outro.

O que cada um cobre

Capacidade	Scanner	Pentest
Headers, sourcemaps, segredos	sim	sim
CORS e configuração	sim	sim
Dependência com CVE	sim	parcial
BOLA/IDOR com duas contas	não	sim
BFLA e mass assignment	não	sim
Lógica de negócio	não	sim
Evidência para o cliente	parcial	sim

Por que o scanner não vê autorização

Autorização quebrada não é um padrão no código: é a ausência de uma checagem. Um scanner procura assinaturas conhecidas; ele não vê o que não foi escrito. Para encontrar, é preciso autenticar com duas contas, trocar o ID e observar o que a API devolve.

GET /api/items/42
Authorization: Bearer <token da conta A>

200 · item da conta B

Onde o scanner é útil

Em higiene e rotina: varredura de segredo em cada push, dependência com CVE, headers e sourcemap. É barato, rápido e deve rodar no CI. O erro é tratá-lo como prova de que a aplicação está segura.

Onde o pentest é necessário

Antes de receber cliente B2B, em due diligence, depois de um incidente ou quando o app guarda dado pessoal. É o momento em que “funciona” precisa virar “resiste”.

O que a Secvolt faz

A Metodologia Express vai além do scanner: duas contas, autorização, isolamento de banco, evidência reproduzível e remediação escrita, em 48h. Veja as 20 verificações e o método.