Seu SaaS está seguro? Checklist em 9 sinais — faça o auto-diagnóstico antes que vire problema.

Checklist

9 sinais de alerta para SaaS B2B

Marque mentalmente quais se aplicam ao seu cenário. Cada item identificado é um ponto de risco real — não uma checklist genérica.

1. 01

   Você não tem pentest documentado nos últimos 12 meses

   Sem pentest recente, você não sabe se está seguro — sabe apenas que ainda não foi atacado, o que é coisa diferente. Cada feature que entrou em produção nesse intervalo é um risco não testado.

2. 02

   Sua "adequação LGPD" é apenas a política de privacidade

   Política de privacidade cobre o lado jurídico (Art. 9). Mas o Art. 46 exige medidas técnicas. Sem evidência técnica documentada, em fiscalização da ANPD ou due diligence enterprise, você está descoberto.

3. 03

   Sua equipe nunca testou "e se eu trocar o ID na URL"

   BOLA (Broken Object Level Authorization) é a vulnerabilidade #1 do OWASP API Top 10. Quase todo SaaS B2B em produção tem pelo menos um endpoint vulnerável. Se ninguém testou cross-tenant manualmente, está vulnerável até prova em contrário.

4. 04

   Seu OAuth nunca passou por teste de state confusion

   Login social (Google, Microsoft, Apple) tem padrões clássicos de Account Takeover via state confusion, redirect URI fuzz, code injection. Pesquisadores de bug bounty ganham milhares de dólares achando isso em SaaS reconhecidos. Se você nunca testou, é candidato.

5. 05

   Você permite que clientes configurem URL de webhook

   Se sim, você precisa bloquear ranges privados (127.0.0.1, 169.254.169.254, 10.0.0.0/8) na requisição saída. Sem isso, atacante aponta o webhook para metadata da AWS e exfiltra credenciais IAM. Pivot para infraestrutura inteira.

6. 06

   Seus endpoints de billing/cupom nunca foram testados sob race condition

   HTTP/2 single-packet attack envia 30 requests no mesmo pacote TCP. Sem lock atômico, todos processam em paralelo: cupom único vira 30 usos, saldo negativo consumido, MFA bypass via race em código OTP. Bug clássico em produtos com fluxo financeiro.

7. 07

   Você roda scanner mensal e está "limpo"

   Nessus, Acunetix e Burp Pro automatizado encontram XSS triviais e versões desatualizadas. Não encontram BOLA, OAuth ATO, race conditions, SSRF chains, JWT confusion, business logic abuse — que são os vetores responsáveis pela maioria dos breaches em 2026.

8. 08

   Seu time de engenharia não foi treinado em "adversarial thinking"

   Dev é treinado para construir. Pesquisador é treinado para quebrar. São mindsets opostos. Em code review, dev valida que feature funciona conforme spec — não valida que ela NÃO faz o que não deveria. Resultado: features entram em produção com cobertura de teste positivo mas zero teste adversarial.

9. 09

   Você não tem plano de resposta a incidente documentado

   Quando vazar (ou pior, descobrir vazamento de 3 meses atrás), o que você faz nas primeiras 24h? LGPD Art. 48 exige comunicação à ANPD em até 3 dias úteis (Resolução CD/ANPD nº 15/2024). Sem playbook pré-escrito, você toma decisões erradas sob pressão — e dano regulatório piora.

Perguntas frequentes

• Como saber se meu SaaS está seguro?

  A única forma confiável é com pentest manual feito por pesquisador humano. Scanner automatizado pega XSS triviais e versões desatualizadas — mas não BOLA cross-tenant, OAuth ATO, race conditions, SSRF chains que dominam ataques em 2026. Como diagnóstico inicial, use o checklist de 9 sinais nesta página: se identificar 3+ sinais, sua plataforma provavelmente tem vulnerabilidade crítica.

• Que sinais indicam que um SaaS pode estar vulnerável?

  9 sinais práticos: (1) sem pentest documentado nos últimos 12 meses; (2) adequação LGPD apenas no jurídico; (3) ninguém testou BOLA cross-tenant manualmente; (4) OAuth nunca passou por state confusion test; (5) webhooks aceitam URLs sem allowlist; (6) endpoints de billing nunca testados sob race condition; (7) confiança exclusiva em scanner automatizado; (8) time sem treinamento adversarial; (9) sem plano de resposta a incidente.

• Posso fazer o diagnóstico sozinho?

  Para diagnóstico de SUPERFÍCIE, sim — o checklist desta página dá uma noção inicial. Mas para confirmar se vulnerabilidades reais existem, é necessário pentest manual: pesquisador atacando sua aplicação como atacante real atacaria, com PoC reproduzível para cada finding. Diagnóstico self-service indica RISCO; pentest documentado indica VULNERABILIDADE específica.

• Quanto tempo leva para detectar uma invasão em SaaS?

  Em média, organizações levam meses para detectar uma invasão sem ferramentas dedicadas. Em SaaS B2B sem SIEM ou monitoramento ativo de logs, atacante sofisticado pode ficar invisível por trimestres. Por isso pentest periódico é importante: encontra vulnerabilidades ANTES do atacante explorar, evitando dano de descoberta tardia.

• Site, SaaS e app têm o mesmo padrão de risco?

  Não. Site institucional simples (sem login) tem risco limitado: defacement, XSS, vazamento de formulário. SaaS B2B tem risco multi-tenant — um cliente conseguir ver dados de outro cliente — que é catastrófico (viola contrato, LGPD, mata renovação). App mobile adiciona riscos de reverse engineering, hardcoded secrets, deeplink hijacking. Cada um exige cobertura específica.

• LGPD se aplica a SaaS B2B?

  Sim, integralmente. SaaS B2B trata dado pessoal de usuários (mesmo que os clientes sejam empresas, os usuários finais são pessoas físicas). Aplicam-se todos os artigos: Art. 7 (bases legais), Art. 9 (informação ao titular), Art. 18 (direitos), Art. 37 (registro de tratamento), Art. 46 (medidas técnicas de segurança), Art. 48 (notificação de incidentes). Vazamento dispara obrigações de comunicação à ANPD.

• O que fazer se identificar vulnerabilidade crítica?

  (1) Não exponha publicamente em redes sociais ou imprensa — agressores monitoram. (2) Confirme se foi explorada (logs, comportamento anômalo). (3) Corrija imediatamente em ambiente isolado. (4) Avalie impacto (quantos clientes afetados, qual dado exposto). (5) Se houve vazamento, prepare comunicação à ANPD conforme Art. 48. (6) Contrate pentest de validação para confirmar correção e identificar bugs relacionados.

• Como diferenciar pentest sério de scanner com nome de pentest?

  Pentest sério tem: pesquisadores com track record público (programas de bug bounty internacionais, CVEs, palestras), PoC reproduzível em cada finding, severidade calibrada (CVSS 4.0 + impacto de negócio), re-test incluso, comunicação direta com pesquisador, relatório formatado para auditor. Scanner com nome de pentest entrega PDF com screenshots de Nessus/Acunetix sem PoC manual.