Soluções

Pentest para Amazon SP-API: Requisitos da DPP

Atenda ao requisito de pentest anual da Data Protection Policy da Amazon com testes manuais na sua integração SP-API e evidências prontas para a avaliação de segurança.

O que é o Pentest para Amazon SP-API?

O Pentest para Amazon SP-API é uma avaliação de segurança ofensiva dos sistemas que consomem dados da Selling Partner API: aplicação, APIs de backend, bancos de dados, armazenamento e ambiente de nuvem. O objetivo é atender ao item 2.7.2 da Data Protection Policy (DPP) da Amazon, que exige pentest pelo menos a cada 365 dias para integrações que tratam dados pessoais (PII) de compradores. Testamos a sua integração e o ambiente que a sustenta. A infraestrutura da própria Amazon fica fora do escopo.

Conectar-se à SP-API é fácil. Provar à Amazon que os dados de pedidos, endereços e compradores estão protegidos dentro do seu sistema é o que define se o acesso continua.

[!] Scanner Automatizado 0 Critical

[!] Framework Genérico 0 Critical

Vantico Pentest 4 Critical Found

UPDATE system_logs

SET message = 'User authentication succeeded with elevated privileges after multi-factor validation',

context_json = '{"module":"auth","action":"login","mfa":true,"latency_ms":842,"source":"web"}',

severity = 'INFO',

processed_at = '2026-02-26 15:08:49'

WHERE log_id = 553210 AND environment = 'production';

SELECT u.id, u.full_name, t.reference_code, t.amount, t.status, t.created_at

A Amazon exige pentest anual de quem trata dados de compradores

Toda aplicação SP-API precisa seguir a Data Protection Policy da Amazon e passar por avaliações de segurança para manter o acesso aos dados de vendedores. Quando a integração acessa PII, como nome e endereço de entrega do comprador, a política acrescenta requisitos de gestão de vulnerabilidades com prazos definidos:

Por que usar a Vantico para o pentest SP-API?

A Vantico entrega o que a avaliação de segurança da Amazon precisa ver:

Escopo definido pelo fluxo dos dados da Amazon: da autorização do vendedor até bancos, filas, exportações e backups
Testes de isolamento entre vendedores: um cliente não pode ver pedidos, etiquetas ou endereços de outro
Avaliação da guarda de credenciais Login with Amazon (LWA), refresh tokens, access tokens e Restricted Data Tokens
Cobertura de aplicação, APIs, nuvem (AWS, Azure, GCP) e rede, como pede o item 2.7.2 da DPP
Priorização alinhada aos prazos da Amazon: 7 dias para críticas e 30 dias para altas
Reteste das correções e Carta de Atestado formal para anexar à avaliação

UPDATE system_logs

SET message = 'User authentication succeeded with elevated privileges after multi-factor validation',

context_json = '{"module":"auth","action":"login","mfa":true,"latency_ms":842,"source":"web"}',

severity = 'INFO',

processed_at = '2026-02-26 15:08:49'

WHERE log_id = 553210 AND environment = 'production';

SELECT u.id, u.full_name, t.reference_code, t.amount, t.status, t.created_at

Plataformas que sincronizam pedidos e estoque de vários vendedores precisam provar que os dados de um cliente nunca vazam para outro.

Aplicações de frete e expedição acessam nome e endereço do comprador e caem diretamente nos requisitos de PII da DPP.

Empresas que solicitam papéis restritos ou passam pela avaliação de segurança da Amazon precisam de evidências de pentest com escopo e metodologia claros.

Vendedores que desenvolveram aplicações privadas na SP-API também respondem à DPP e precisam renovar o pentest a cada 365 dias.

Nosso processo

Etapa 1 Kick-off e mapeamento do fluxo de dados da Amazon

Etapa 2 Definição de escopo alinhada à DPP

Etapa 3 1. Pentest da aplicação e das APIs

Etapa 4 Avaliação de nuvem e infraestrutura

Etapa 5 Relatório e priorização pelos prazos da Amazon

Etapa 6 Reteste e Carta de Atestado

Relatórios e entregas

O relatório de Pentest para Amazon SP-API é estruturado para servir de evidência na avaliação de segurança da Amazon. Inclui escopo e período dos testes, metodologia, ativos avaliados, vulnerabilidades classificadas por severidade com evidências e passos de reprodução, recomendações de correção e o resultado do reteste. Acompanha a Carta de Atestado da Vantico.

Modelo de Relatório Carta de Atestado

Perguntas frequentes

Todo desenvolvedor SP-API precisa fazer pentest?

O pentest anual é exigido nos requisitos adicionais da DPP para quem trata PII. Integrações sem PII seguem os requisitos gerais de segurança, mas a Amazon pode solicitar evidências na avaliação. No kick-off confirmamos se o requisito se aplica ao seu caso.

Com que frequência o pentest deve ser feito?

Pelo menos a cada 365 dias. Mudanças significativas na aplicação ou na infraestrutura pedem novas varreduras e, conforme o risco, um novo pentest.

O SP-API Guard ou um scanner substituem o pentest?

Não. A Amazon trata varreduras, varreduras de código e pentest como atividades separadas. O SP-API Guard avalia configurações da AWS e ajuda na preparação, mas não comprova o pentest anual.

Vocês testam a própria SP-API da Amazon?

Não. Testamos a sua aplicação, a integração e o ambiente que processa os dados da Amazon. A infraestrutura da Amazon fica fora do escopo.

A Amazon exige um fornecedor credenciado?

A Amazon não publica uma lista de fornecedores aprovados. A política pede metodologia reconhecida pelo setor e profissionais qualificados, o que a Vantico atende com equipe certificada e metodologia baseada em OWASP, NIST e MITRE ATT&CK.

Posso reaproveitar o pentest de SOC 2 ou ISO 27001?

Sim, se o escopo incluir a integração SP-API e os sistemas que tratam dados da Amazon, e se o teste estiver dentro dos últimos 365 dias. Podemos planejar um único pentest que atenda aos dois.

O relatório garante a aprovação pela Amazon?

Não. A Amazon avalia também políticas, processos e controles operacionais e decide o resultado. O relatório e a Carta de Atestado comprovam a parte de pentest e correção.

Pronto para fortalecer sua segurança?

Agendar demonstração