--- title: "Auditoria de segurança que volta a testar | BionicAdri" description: "BionicAdri: cada constatação passa de suspeita a verificada, corrigida e encerrada com teste, e matriz por perfis mostra o que cada perfil vê do site." url: https://bionicadri.com/pt/blog/auditoria-seguridad-retest-roles.html markdown: https://bionicadri.com/pt/md/blog-auditoria-seguridad-retest-roles.md language: pt updated: 2026-10-29 index: https://bionicadri.com/pt/llms.txt publisher: "BIONICADRI SOLUTIONS S.L. · info@bionicadri.com · +34 604 87 17 35" translations: es: https://bionicadri.com/md/blog-auditoria-seguridad-retest-roles.md en: https://bionicadri.com/en/md/blog-auditoria-seguridad-retest-roles.md ro: https://bionicadri.com/ro/md/blog-auditoria-seguridad-retest-roles.md fr: https://bionicadri.com/fr/md/blog-auditoria-seguridad-retest-roles.md de: https://bionicadri.com/de/md/blog-auditoria-seguridad-retest-roles.md it: https://bionicadri.com/it/md/blog-auditoria-seguridad-retest-roles.md pt: https://bionicadri.com/pt/md/blog-auditoria-seguridad-retest-roles.md --- # Uma auditoria de segurança que volta a verificar o que foi corrigido e quem vê o quê Um relatório de segurança que diz «há 23 problemas» e fica numa gaveta não protege nada. O que protege é saber quais foram realmente corrigidos, quais continuam lá e quais voltaram. O ADRI mantém o registo de cada achado e volta a verificá-lo. Por [Liviu Diaconu](https://bionicadri.com/pt/nosotros.html#fundador) 29 out 2026 7 min de leitura Antes de mais: o ADRI só audita **o que é próprio ou o que está autorizado**. Antes de lançar uma auditoria ativa contra um site, pede-te um sim expresso no chat com uma declaração: que és titular desse alvo ou que tens autorização escrita do seu titular. O pedido e a tua resposta ficam registados. Por predefinição, podem pedir auditorias a direção, a administração e o superadministrador, e cada pedido, também os recusados, fica no ecrã de auditoria de escaneamentos. ## O que é um re-teste de vulnerabilidades? É voltar a testar uma falha depois de alguém dizer que a corrigiu. Parece óbvio, mas é onde as coisas mais se torcem: o patch foi aplicado num servidor e não noutro, corrigiu-se uma rota e a do lado continua igual, ou uma atualização posterior voltou a abri-la. Com o ADRI, o «re-teste» é tão simples como pedir outra auditoria do mesmo alvo. A diferença é que agora recorda o que se decidiu sobre cada achado. ## Cada achado tem a sua ficha e o seu estado Cada achado recebe um identificador estável, do tipo `H-1a2b3c4d`, que se mantém de uma auditoria para outra. E passa por estes estados: - **Suspeita.** Foi o escaneamento que o encontrou e ainda não está confirmado. - **Verificado.** Há provas de que é real: o ADRI anota-o com a sua nota, ou o próprio escaneamento o demonstrou. - **Corrigido.** É uma pessoa que o diz, com o identificador do achado na sua mensagem. O ADRI não o pode dar como corrigido por sua conta. - **Encerrado.** Na auditoria seguinte já não aparece e o teste que o detetava foi executado corretamente. - **Reaberto.** Deste-o como corrigido e continua a aparecer. Há também duas decisões que só uma pessoa toma: **falso positivo** (não é um problema real) e **aceite** (é real, mas assumes o risco). Ambas ficam com a sua nota. ## Quando se pode dar uma vulnerabilidade por encerrada? Só quando o novo teste o demonstra. As regras são rigorosas de propósito: - Se o teste que devia detetá-lo **não chegou a ser executado ou falhou**, o re-teste é marcado como inconclusivo, e diz-te isso. Não se fecha nada por não se ter olhado. - Se um achado aberto simplesmente não aparecer, não é fechado sozinho: pode ser que dessa vez essa parte não tenha sido revista. - Se algo fechado voltar a aparecer, é marcado como **regressão**, que é precisamente o que mais interessa ver. O resumo destas alterações vai no topo do relatório: o que foi fechado, o que foi reaberto e o que voltou. ## O que é uma matriz de acesso por perfis? Muitas falhas graves não se veem de fora. Um varrimento anónimo não deteta que um funcionário pode abrir a ficha de outro, ou que um cliente do portal vê faturas que não são suas. É para isso que existe a **matriz de acesso por perfis**. Funciona assim: tu declaras num ficheiro os perfis da tua aplicação, com contas de teste do teu ambiente de testes, e que perfis deveriam poder ver cada rota. A ADRI prepara-te o modelo de partida se lhe deres o código. Depois pede cada rota com cada perfil e compara: - 🔴 **Acesso indevido:** um perfil que não devia ver a rota, vê-a. - ⚠️ **Bloqueio inesperado:** um perfil que devia vê-la não consegue. - ❔ **Indeterminado:** um erro do servidor ou uma resposta ambígua que é preciso ver manualmente. Para não causar danos, apenas faz leituras, não segue redirecionamentos, não sai do domínio que lhe indicaste e tem um limite de rotas e de perfis, com pausas entre pedidos. No relatório não aparecem nem o conteúdo das páginas nem as cookies de teste: apenas o estado, o tamanho e uma impressão digital para comparar. És tu que colocas as contas de teste; a ADRI não as inventa nem te as pede pelo chat. ## Se tens o código, a auditoria aponta para a linha Se lhe deres o caminho do código da tua aplicação, a ADRI faz antes um mapa estático: que rotas existem, quais pedem início de sessão e quais chegam a operações delicadas. Ao cruzá-lo com o varrimento, um achado confirmado pelo código aparece com a sua causa: o ficheiro e a linha. O que o código aponta mas o varrimento não tocou fica como indício, nunca como achado. ## Determina, não repara A auditoria assinala e prioriza; não aplica correções por sua conta. Se for preciso corrigir algo no código, a ADRI prepara-o e faz-se com a tua aprovação. Depois, outra auditoria fecha o ciclo. Mais em [segurança e conformidade](https://bionicadri.com/pt/seguridad.html) e em [pentesting automático com agentes de IA](https://bionicadri.com/pt/blog/seguridad-empresas-agentes-ia.html). Se te interessa como a ADRI pede autorização antes de agir, contamos em [quando a ADRI te pede autorização](https://bionicadri.com/pt/blog/cuando-adri-pide-permiso.html), ou [pede uma demo](https://bionicadri.com/pt/contacto.html#formulario). ## Perguntas frequentes **Posso auditar o site de outra empresa?** Só se fores o seu titular ou tiveres autorização escrita. Antes de uma auditoria ativa, a ADRI pede-te um sim com essa declaração e fica registado. **Quem decide que um achado está corrigido?** Uma pessoa, escrevendo o identificador do achado. Depois, a auditoria seguinte só o fecha se o teste foi executado e já não o encontra. **A matriz por perfis pode alterar dados da minha aplicação?** Não. Apenas faz leituras, sem seguir redirecionamentos e sem sair do domínio que lhe indicaste, com um limite de rotas e pausas entre pedidos. - Segurança - Auditoria - Perfis - ADRI ## Artigos relacionados ### [Segurança empresarial com agentes de IA: pentesting automático](https://bionicadri.com/pt/blog/seguridad-empresas-agentes-ia.html) ### [O Sentinela da ADRI: o que vigia nos teus servidores, como decide e o que deixa a uma pessoa](https://bionicadri.com/pt/blog/centinela-seguridad-adri.html) ### [Quando a ADRI te pede autorização e quando não: uma pausa que protege sem incomodar](https://bionicadri.com/pt/blog/cuando-adri-pide-permiso.html) ## Veja-o com os dados da sua empresa Mostramos-lhe a ADRI a trabalhar numa tarefa real sua, em cerca de 15 minutos. [Pedir demonstração](https://bionicadri.com/pt/contacto.html#formulario) [info@bionicadri.com](mailto:info@bionicadri.com) · [+34 604 87 17 35](tel:+34604871735)