Pentest em aplicação web para e-commerce
Pentest para e-commerce e loja virtual
Atualizado em 2 de novembro de 2026. Próxima revisão prevista para fevereiro de 2027.
Por Julio Cesar Madeira Soares, especialista em segurança da informação, especialista em segurança cibernética e perito em computação forense.
Numa loja virtual, a falha pode virar prejuízo direto: pedido pago com preço alterado, cupom usado mil vezes, conta de cliente invadida ou script copiando cartão no checkout. Testamos esses fluxos na sua loja, dentro do que a plataforma permite.
Base em Governador Valadares/MG · Atendimento remoto em todo o Brasil
Pentest para e-commerce testa o que a loja deixa o comprador e o atacante fazerem: alterar preço e frete, reaproveitar cupom, abrir pedido de outro cliente, invadir conta e injetar script no checkout. Entregamos cada falha com evidência, risco, correção recomendada e reteste.
Duas regras importam aqui. O Decreto nº 7.962/2013 manda toda loja usar mecanismos de segurança eficazes para pagamento e para tratamento de dados do consumidor (art. 4º, VII). Já o PCI DSS depende de como a loja recebe o cartão, e é essa integração que decide se o pentest é exigência do padrão.
O que não prometemos. Não dizemos qual questionário PCI se aplica à sua loja: quem confirma isso é o adquirente ou o auditor. E, em plataforma de terceiros, só testamos o que a plataforma permite e o que é seu.
As regras
Usar gateway não resolve a segurança da loja
Terceirizar o cartão tira um risco grande da sua frente. Os outros ficam, e a responsabilidade por eles também.
O decreto vale para qualquer loja. O art. 4º, VII, do Decreto nº 7.962/2013 não fala em tamanho nem em plataforma. Ele fala em mecanismos de segurança eficazes, o que é difícil de sustentar sem nunca ter testado se eles funcionam.
O PCI DSS muda conforme a integração. Segundo as referências de mercado que consultamos, o SAQ A, usado por quem redireciona ou embute o pagamento do provedor, não aciona o requisito 11.4 de pentest. O SAQ A-EP e o SAQ D acionam. A tabela abaixo resume, e a confirmação fica com o seu adquirente ou auditor.
O checkout virou alvo por causa dos scripts. Os requisitos 6.4.3 e 11.6.1 tratam da gestão de scripts e da detecção de alteração na página de pagamento. O SAQ A deixou de incluí-los em 2025, mas ganhou uma condição: o lojista precisa confirmar que o site está protegido contra ataques por scripts maliciosos.
A LGPD alcança a loja com ou sem cartão. Nome, endereço, CPF e pedido são dados pessoais, e quem deixa de adotar as medidas do art. 46 responde pelos danos da violação (art. 44, parágrafo único). Dados financeiros e de autenticação também são critérios de incidente relevante (Resolução CD/ANPD nº 15/2024, art. 5º).
PCI DSS
O que muda no PCI DSS conforme a integração de pagamento
A mesma loja pode ter obrigações bem diferentes dependendo de por onde o número do cartão passa.
| Como a loja recebe o cartão | Questionário de referência | O que isso muda no teste |
|---|---|---|
| Redireciona para a página do provedor | SAQ A. Sem requisito 11.4, com varredura trimestral por ASV. | Pentest não é exigência do padrão, mas continua valendo para preço, pedido, conta e adulteração do redirecionamento. |
| Iframe ou campos hospedados pelo provedor | SAQ A, com a condição de proteção contra scripts ou confirmação por escrito do provedor. | O foco inclui os scripts da página que carrega o iframe. |
| Formulário ou JavaScript gerado pelo seu site, com envio direto ao provedor | SAQ A-EP. Com requisito 11.4 e com 6.4.3 e 11.6.1. | Pentest é exigência, pelo menos a cada 12 meses e depois de mudança significativa, com atenção à integridade da página de pagamento. |
| Checkout próprio em que o cartão passa pelos seus servidores | SAQ D. Padrão completo. | Pentest é exigência, e o escopo cresce bastante. Vale avaliar se o fluxo pode ser redesenhado para o cartão ficar só com o provedor. |
O que testamos
O que testamos em uma loja virtual
A regra de ouro de um checkout é simples: nada que vem do navegador pode ser tratado como verdade. É isso que estes testes verificam.
Preço, frete e total
Preço ou desconto alterado na requisição, quantidade negativa, frete manipulado e total que a loja não recalcula no servidor.WSTG-BUSL · OWASP A06:2025
Cupom, vale e pontos
Cupom de uso único aplicado várias vezes, combinação proibida, vale-presente adivinhável e pontos gerados por pedido cancelado.WSTG-BUSL · OWASP A06:2025
Pedido de outro cliente
Trocar o número do pedido para abrir endereço, nota fiscal e rastreio de outra pessoa, na tela, na API e no link enviado por e-mail.WSTG-ATHZ · OWASP A01:2025
Conta do cliente
Teste de senhas vazadas em massa, login sem limite de tentativas, recuperação de senha fraca e uso de cartão salvo depois de a conta ser tomada.WSTG-ATHN · OWASP A07:2025
Checkout e scripts
XSS que chega ao checkout, por exemplo por nome de produto ou avaliação, além de scripts de terceiros, gerenciador de tags e política de segurança de conteúdo.OWASP A05 e A03:2025 · PCI 6.4.3 e 11.6.1
Painel e confirmação de pagamento
Painel do lojista exposto, perfis internos, integrações com ERP e marketplace e webhook que aceita um aviso falso de pagamento aprovado.WSTG-ATHZ · OWASP API8 e API10:2023
Na sua operação
Como testar uma loja sem atrapalhar a venda
O que dá para testar depende de quem hospeda a loja, e o teste precisa conviver com estoque, nota fiscal e campanha.
Escopo completo
Código e infraestrutura são seus, então o teste alcança aplicação, API, painel e integrações, de preferência em homologação igual à produção.
O que é seu
Tema, aplicativos, integrações e APIs próprias entram. O núcleo da plataforma só entra se as regras dela permitirem, e isso é verificado antes.
Sem cartão real
Usamos o ambiente de testes do provedor de pagamento, com pedidos identificados e combinados, para não afetar estoque, nota fiscal nem conciliação.
Se a Black Friday ou outra campanha está perto, teste antes do congelamento de mudanças, para sobrar tempo de corrigir. O método, as modalidades e os limites do que o relatório prova estão em Pentest em aplicação web.
Responsável técnico
Quem conduz o teste
Julio Cesar Madeira Soares
Pentester e perito em computação forense
Atuo desde 2015 em teste de intrusão, pesquisa de vulnerabilidades e programas de bug bounty, e sou membro do Synack Red Team desde 2018. Tenho a certificação CompTIA PenTest+ e fiz o treinamento SEC542 do SANS, de teste de intrusão em aplicações web, sem prestar a certificação GIAC correspondente.
Também atuo como perito em computação forense, o que ajuda quando o teste encontra sinal de que a loja já foi comprometida, como um script estranho no checkout.
Ver certificações e reconhecimento públicoNossa base é Governador Valadares/MG, e o atendimento é remoto em todo o Brasil. Outros setores: Pentest para fintech, Pentest para SaaS e Pentest para saúde.
Dúvidas frequentes
Perguntas sobre pentest para e-commerce
Quem usa gateway de pagamento está livre do PCI DSS?
Não. Usar gateway reduz o escopo, mas o lojista continua no padrão, geralmente por um questionário mais simples. Mesmo o SAQ A, o mais curto, inclui varredura trimestral por ASV e a condição de proteção contra scripts maliciosos. Quem confirma o enquadramento é o adquirente ou o auditor.
O pentest é obrigatório pelo PCI DSS?
Depende da integração. Pelas referências de mercado que consultamos, o requisito 11.4 não se aplica ao SAQ A e se aplica ao SAQ A-EP e ao SAQ D. Onde se aplica, o teste precisa acontecer pelo menos a cada 12 meses e depois de mudança significativa, com reteste das correções.
Loja em plataforma pronta precisa de pentest?
Precisa de um escopo menor. A plataforma cuida do núcleo, mas tema, aplicativos instalados, scripts, integrações e API própria são seus e podem abrir falhas. Testamos essa parte, sempre dentro das regras da plataforma. Se a loja é só o tema padrão, sem integrações, talvez o teste não se pague, e nós dizemos isso.
O teste gera pedido falso ou mexe no estoque?
Pode gerar, por isso combinamos antes. O ideal é homologação com o ambiente de testes do provedor de pagamento. Em produção, os pedidos ficam identificados, em quantidade combinada e com produto ou conta reservados para o teste, para não afetar estoque, nota fiscal e conciliação.
O que é o roubo de cartão por script no checkout?
É quando um script malicioso roda na página de pagamento e copia o que o cliente digita. Ele pode entrar por uma falha da loja ou por um script de terceiro que foi comprometido. O pedido acontece normalmente, e a loja muitas vezes só descobre depois. Por isso o teste olha o que carrega no checkout, e não só o formulário.
Quando é a melhor hora de testar a loja?
Antes de grandes campanhas, depois de trocar plataforma ou gateway e sempre que entrar um fluxo novo de pagamento, cupom ou conta. Evite a semana da campanha: o teste precisa de janela tranquila, e a correção precisa de tempo.
Sua loja confere o preço no servidor?
Mande o endereço da loja, a plataforma e como o pagamento é integrado. Eu digo com franqueza o que vale testar e se o teste compensa para o tamanho da sua operação.
Falar sobre a loja