Varredura automatizada e pentest manual são frequentemente vendidos como alternativas. Não são. São camadas complementares. Este guia mostra onde cada um vence.

O que varredura automatizada faz melhor

• Frequência. Dá pra rodar toda semana, toda noite, toda mudança.
• Cobertura de headers e configurações. Consistente, sem esquecer.
• Detecção de deriva. Configuração estava OK, mudou, alerta.
• Bugs conhecidos. SQL, XSS, SSRF clássicos.
• Custo por execução. Cai a zero após implantar.

O que pentest manual faz melhor

• Business logic. Fluxo de negócio complicado que a máquina não entende.
• Encadeamento. Explorar 3 falhas médias que juntas viram crítica.
• Vetores criativos. Analista pensa "e se eu combinasse X com Y?".
• Engenharia social. Phishing contra funcionário do cliente.
• Reporte com contexto. Relatório escrito por humano para humano.

O que os dois fazem parecido

• OWASP Top 10 clássico. Ambos detectam.
• Certificado pra compliance. Ambos servem (varia por norma).

Matriz de decisão

Você tem 3 cenários típicos:

Cenário 1: SaaS B2B em produção com equipe de 5-20

Recomendação: varredura contínua (semanal) + pentest anual da faixa 25-80k.

Racional: varredura semanal captura deriva e novas features. Pentest anual valida business logic e comportamentos que só humano pega.

Cenário 2: Startup pré-produção, 3 devs, MVP fresco

Recomendação: varredura contínua começando agora. Pentest só quando sair do MVP e ganhar clientes B2B.

Racional: pentest antes de MVP maduro é desperdício — encontra o óbvio que a varredura pega e não tem business logic complexa.

Cenário 3: Empresa regulada, dados sensíveis, faturamento alto

Recomendação: varredura contínua + pentest da faixa 80-250k anual + bug bounty público.

Racional: 3 camadas com objetivos diferentes. Custo é diluído pela criticidade do negócio.

Erros comuns na comparação

Erro 1: "Compra pentest só, é mais completo."

Pentest anual deixa 51 semanas sem cobertura. Vulnerabilidade nova aparece semana 2, exploit em semana 5, você descobre no próximo pentest.

Erro 2: "Compra automatizado só, é mais barato."

Automatizado não encontra falha de business logic. Sua rota de "aprovar reembolso" que aceita reembolso maior que o pedido original, automatizado não vê.

Erro 3: "Compra os dois da mesma empresa."

Conflito de interesse. A varredura da empresa X detectando 5 falhas cria pressão pro pentest da mesma empresa X encontrar mais 5. Prefira fornecedores diferentes.

Como combinar sem gastar duas vezes

• Contrata pentest anual da faixa 2 no primeiro trimestre.
• Contrata varredura contínua em janeiro.
• Findings da varredura viram baseline pro pentest.
• Pentester foca no que a varredura não pega (business logic).
• Custo total < 50% do que se dobrasse orçamento em pentest.

TL;DR

• Automatizado: frequência, config, conhecido.
• Manual: business logic, encadeamento, criatividade.
• Combine, não escolha.
• Startup: automatizado primeiro. Pentest quando MVP maduro.
• Regulado: os dois + bug bounty.

A Varredura cobre a camada contínua. Ver como se encaixa.