Todo diretor de tecnologia que já assinou uma proposta de pentest de R$ 60 mil pergunta a mesma coisa três meses depois: "por que uma ferramenta de R$ 800/mês encontrou coisa que o pentest não encontrou?".

Não é que o pentester era ruim. É que os dois instrumentos medem coisas diferentes, em ritmos diferentes, com objetivos diferentes.

O que cada um faz na prática

Pentest anual é uma missão com escopo fechado. Um pentester (ou dupla) recebe um alvo, uma janela de 2-4 semanas, um contrato assinado e um objetivo. Vasculha, explora, escreve relatório. Vai fundo, sai. Cadência: 1x/ano na maioria das empresas BR (2x/ano em fintechs reguladas, PCI-DSS Level 1).

Varredura contínua é uma máquina rodando 24/7 contra sua superfície pública. Descobre novos endpoints, testa payloads conhecidos, monitora deriva de configuração, sinaliza quando algo muda. Cadência: horas ou dias entre execuções.

Dizer "varredura substitui pentest" ou "pentest substitui varredura" é como dizer que radar substitui inspeção mecânica no carro. Não substitui — resolve outra classe de problema.

Comparação lado a lado

| Dimensão | Pentest anual | Varredura contínua | |---|---|---| | Cadência | 1-2x/ano | Diária ou semanal | | Cobertura de superfície | 100% do escopo definido | 100% da superfície descoberta | | Detecção de deriva | Não detecta entre pentests | Detecta em horas | | Bugs de lógica de negócio | Encontra bem | Encontra pouco | | Vulnerabilidades conhecidas (CVE, OWASP) | Encontra | Encontra melhor (base atualizada) | | Bugs zero-day / criativos | Encontra | Não encontra | | Custo típico BR (SaaS médio) | R$ 30-80k/pentest | R$ 500-3.000/mês | | Custo por achado válido | R$ 3.000-15.000 | R$ 50-500 | | Prova para compliance | Sim (relatório assinado) | Sim, mas complementar | | Time-to-detect novo bug | 6-12 meses | Horas a dias |

Números medianos observados no mercado brasileiro em 2025-2026, empresas SaaS entre 20 e 200 funcionários.

Onde o pentest anual sozinho falha

Três cenários onde depender só de pentest anual quebra:

1. Deploy diário, pentest anual. Sua base de código muda por semana o equivalente ao que muda por ano em uma empresa tradicional. O pentester testa a versão de março, você faz deploy em abril, maio, junho... quando o relatório final chega, metade do escopo virou coisa nova. Não é culpa do pentester — é impossível cobrir isso em uma janela fixa.

2. Superfície que cresce sozinha. Marketing sobe uma landing page nova no Vercel. Ops habilita um bucket S3 público para servir imagens. Alguém publica um subdomínio de staging no Cloudflare. Nada disso está no escopo do pentest. Aparece como resultado de negócio e some do radar de segurança.

3. Achados triviais que não precisavam de humano. Cerca de 40-60% dos achados de um pentest web típico são coisas que um scanner decente pega: headers de segurança ausentes, CORS aberto, XSS refletido em campo de busca, dependência Node com CVE crítica. Pagar um sênior R$ 500/hora para achar isso é queimar dinheiro que devia ir para o achado criativo que só ele encontra.

Onde a varredura contínua sozinha falha

1. Lógica de negócio. Se sua aplicação tem um endpoint /transfer onde o usuário A pode transferir dinheiro passando o user_id do B no body, nenhum scanner do mundo entende que isso é um IDOR. Ele veria 200 OK e seguiria. Precisa de humano lendo o fluxo.

2. Encadeamento de vulnerabilidades. Um XSS refletido em página pública é low. Um XSS refletido em página que aceita cookie de sessão de admin é critical. Um scanner reporta os dois iguais. Um pentester escala um no outro.

3. Zero-day / vulnerabilidades novas. Scanner testa payload conhecido. Se o bug é novo, ninguém escreveu o payload ainda.

4. Provas para auditoria pesada. ISO 27001 A.14, PCI-DSS 11.3, contratos B2B enterprise: exigem laudo humano com assinatura de responsável técnico. Relatório de scanner não substitui.

Custo por achado válido — a métrica que ninguém olha

Dado real de 2025 em SaaS BR de médio porte que adotou modelo híbrido:

• Pentest anual: R$ 55.000 → 32 achados válidos após triagem → R$ 1.719 por achado
• Varredura contínua (12 meses): R$ 18.000 → 187 achados válidos → R$ 96 por achado

A varredura contínua encontrou 5,8x mais coisas por 1/3 do preço. Mas — e aqui é onde as pessoas erram a leitura — 4 dos 32 achados do pentest eram criticos de lógica de negócio que a varredura jamais teria pego. Um deles daria acesso a dados de 40 mil clientes.

Os dois têm valor. O erro é achar que um faz o serviço do outro.

Modelo híbrido recomendado

Para SaaS BR entre 20 e 500 funcionários:

• Varredura contínua semanal cobrindo 100% da superfície pública (encontra e prioriza feijão-com-arroz, sinaliza deriva, monitora dependências).
• Pentest focado 1x/ano em módulos críticos (autenticação, pagamento, admin) — 5 a 10 dias de um sênior. Pula o "pentest do site inteiro" de duas semanas que gera relatório de 200 páginas.
• Bug bounty privado com 5-10 pesquisadores selecionados, para engajamento contínuo em bugs criativos.

Custo total para SaaS médio BR: R$ 60-100k/ano. Cobertura substancialmente melhor que qualquer uma das três abordagens isoladas.

Se você está começando e só pode escolher uma, comece por checklist básico de MVP e adicione varredura contínua. Pentest entra quando o produto está estável e você tem cliente exigindo laudo.

---

A Varredura testa toda semana o que um pentest testaria uma vez por ano, com base de payloads atualizada e sem tocar em código-fonte. Rode agora.