Segurança contínua.
A cada deploy.

Proteja todo o seu stack com pentest autônomo. Encontre e corrija vulnerabilidades 24/7.

Acesso pelo aplicativo para Windows. Instalador ainda não disponível.

Usado por times de segurança em

Nubank

iFood

Stone

PicPay

QuintoAndar

Creditas

Ebanx

VTEX

Produto

Um agente de pentest para todo o stack.

Execute testes sob demanda ou em cada deploy. Cada achado vem com reprodução, evidência e correção sugerida.

Pentestsworkspace / produção

Pentest	Status	Problemas	Data
api.empresa.com	Concluído	3 críticos 7 altos	há 2h
staging.app.io	Rodando	—	agora
checkout.loja.com.br	Concluído	2 médios	ontem
github.com/empresa/core	Concluído	1 alto	há 3 dias

APIs e Web Apps

Cobertura completa em REST, GraphQL e aplicações web, com prova de exploração para cada achado.

IDOR no endpoint de download de fatura

AltaCWE-639

invoices.controller.ts- const inv = await db.invoice.find(id)+ const inv = await db.invoice.find(id, { userId })+ if (!inv) throw new ForbiddenError()

Código e Pull Requests

Análise de código e PRs direto no pipeline de CI. A vulnerabilidade é identificada na origem.

#482 feat: export csvBloqueado

SQL injection em reports/export.ts:57

#481 fix: session ttlAprovado

#480 chore: depsAprovado

Infraestrutura e Nuvem

Identifica configurações incorretas e exposições antes de um atacante.

Bucket S3 públicoCrítico9.8

Política IAM com wildcardCrítico9.1

Security group 0.0.0.0/0:22Alto7.5

“Reduzimos o tempo entre detecção e correção de semanas para horas. Os achados chegam reproduzidos, sem falso positivo para triar.”
Mariana Albuquerque · Head de Segurança, Trilha Pagamentos

Do achado à correção

Cada vulnerabilidade termina em um PR.

Encontrado

O agente mapeia a superfície e identifica o vetor.

Reproduzido

A exploração é executada e registrada como prova.

Corrigido

Um PR com a correção é aberto e validado novamente.

DSC-1042

Bypass de autorização em /api/v2/invoices/:id/download

AltaCVSS 8.1

Impacto: Qualquer usuário autenticado pode baixar faturas de outros clientes alterando o ID sequencial.
Localização: src/billing/invoices.controller.ts:42
Prova: GET /api/v2/invoices/10293/download Authorization: Bearer <user_b> → 200 OK application/pdf (fatura de user_a)

Correção sugerida

@@ -40,6 +40,9 @@ export async function download(req, res)  const { id } = req.params- const invoice = await Invoice.findById(id)+ const invoice = await Invoice.findOne({+   id, ownerId: req.user.id,+ })+ if (!invoice) return res.sendStatus(404)  return res.pdf(invoice.file)

Verificação confirmada — vulnerabilidade não é mais explorávelPR #517 pronto pra merge

Deploy com confiança

Segurança integrada ao ciclo de entrega.

Toda PR revisada antes do merge

Análise automática em cada pull request.

Bloqueia deploy com vulnerabilidade

Gate configurável por severidade no CI.

Monitora a superfície de ataque

Novos ativos e endpoints detectados continuamente.

Validação em tempo real

Cada achado acompanha prova de exploração.

Pentest consciente do contexto

Entende stack, arquitetura e lógica de negócio.

Aprendizado contínuo

Conhecimento acumulado entre execuções.

Recursos

Visibilidade, evidência e correção.

Postura de segurança em tempo real

Vulnerabilidades abertas · 30 dias

Achados validados com prova

SSRF em /webhooks/testValidado

JWT sem verificação de algValidado

XSS armazenado em comentáriosValidado

Correção automática com PR

descrypted-bot abriu #517

fix(billing): enforce ownership check

+4 −1 · checks passando

Enterprise

Para ambientes com requisitos rígidos.

Deploy self-hosted

Execução na sua VPC ou on-premise.

Infraestrutura interna

Testes em redes internas, não apenas na superfície externa.

Retenção zero de dados

Seu código nunca é usado para treinar modelos.

Suporte e conformidade

SLA customizado, suporte dedicado, LGPD, ISO 27001 e SOC 2.

Legalidade e ética

Teste apenas o que você tem permissão para testar.

A Descrypted segue princípios de hacking ético. Uso contra sistemas de terceiros sem autorização é bloqueado e viola os termos de serviço.

Autorização obrigatória

Testes só são executados após verificação de propriedade do domínio, repositório ou conta de nuvem (DNS TXT, OAuth ou role IAM).

Escopo explícito

Alvos, janelas de execução e técnicas permitidas são definidos antes de cada pentest. Nada fora do escopo é tocado.

Exploração não destrutiva

Provas de conceito são mínimas: sem exfiltração de dados reais, sem negação de serviço, sem persistência.

Conformidade legal

Operação alinhada à Lei 12.737/2012, ao Marco Civil da Internet e à LGPD. Logs completos de auditoria por execução.

Bug bounty

Empresas que pagam por localizar falhas.

Organizações com programas públicos de recompensa por vulnerabilidades. Relatórios da Descrypted são exportados no formato exigido por essas plataformas: passos de reprodução, evidência, impacto e CVSS.

Programas públicos