What does NullSquare actually do?

NullSquare runs continuous security testing across websites, APIs, cloud assets, and private environments. It maps vulnerabilities and evidence directly to standard compliance controls in real time.

Do I need to install anything on my servers?

No install is required for public targeting. If you need to test internal private networks or keep testing payloads completely inside your isolated VPC boundaries, you can deploy a Private Runner with a single container execution command.

How does credit usage work?

Credits are utilized during runner active target exercises. Usage depends directly on target scope sizes, simulation test depths, and runner active time. You can expand capacities as your footprint grows.

What types of security assessments are supported?

The platform executes continuous web application scans, API request validation vetting, multi-cloud perimeter assessments, sandbox break-out simulations, and code exploitability audits.

Where can I learn how to operate the platform?

We maintain comprehensive customer documentation that covers everything from your first discovery run to deploying private runners. Read the documentation at nullsquare.net/docs for a complete operating guide.

NullSquare — pentest contínuo, revisão de código e conformidade

Quer uma demo?

O desconhecido

Proteja o desconhecido.

Toda empresa opera mais do que consegue ver. Uma máquina que alguém subiu anos atrás, um subdomínio que ninguém desativou, uma porta aberta numa tarde e nunca fechada. O desconhecido não é o ataque que você não viu. É a superfície para a qual você nunca olhou.

Construindo com os melhores

Construímos sobre as plataformas que você já usa — sua nuvem, seu host de código e os modelos de fronteira por trás dos agentes.

Microsoft
Amazon Web Services
Google
OpenAI
Anthropic
xAI
Moonshot AI
DeepSeek
GLM
GitHub
npm
Docker
Linux
Cloudflare
Cisco
Slack
Resend
Apollo
WordPress
Shopify
Wix
Squarespace

Conheça seu time de segurança.

Quatro agentes, cada um especialista em uma disciplina, no seu escopo o tempo todo. Eles também passam trabalho entre si: o agente de monitoramento acha um CVE novo, o de pentest prova se ele te alcança, e o de revisão de código impede que o próximo vá ao ar.

PENTEST

Pentest contínuo que prova cada achado

Nossa raposa executa avaliações black-box contínuas nos seus serviços em produção. Ela encadeia técnicas como faria um atacante de verdade e prova cada vulnerabilidade com um exploit que funciona. Depois testa de novo após a sua correção: um achado só fecha quando o agente não consegue mais entrar.

Conhecer este agente →

CODE REVIEW

Cada pull request revisada antes do merge

Nosso lagarto lê a base de código que você já tem e relata os defeitos que estão nela hoje. Depois acompanha cada pull request que você abre. Comenta na linha exata, diz o que um atacante faz com ela e trava o merge até um responsável decidir. Peça, e ele escreve o patch.

Conhecer este agente →

READINESS

Pronto para auditoria todo dia, não só na semana da auditoria

Nossa coruja atua como sua auditoria interna. Mantém suas políticas e evidências em um lugar só, testa cada controle que dá para testar e lê os documentos por trás do resto. Reconfere tudo em um calendário, para você estar pronto no dia em que um auditor ligar.

Conhecer este agente →

WATCH

Saiba quando uma nova CVE pode afetar um software que você utiliza

Nosso olho acompanha novas divulgações e as compara com versões exatas e rastreáveis do seu inventário. Uma correspondência elegível indica exposição potencial, não uma vulnerabilidade confirmada; a verificação direcionada determina se o problema documentado pode ser explorado no seu ativo.

Conhecer este agente →

Sua postura de segurança, e para onde ela vai.

A exposição aberta em todo o escopo, o que corrigir primeiro e a linha que importa — se a fila está fechando ou crescendo. Um painel saudável é quase todo preto, e esse é o argumento.

Good evening, Operator.

demo.acme.io

B+

Security posture

Open exposure

Open risks

Critical & high

Potential

KEV listed

Vulnerability trajectory

Open and resolved backlog by day

2026-03-302026-04-012026-04-032026-04-052026-04-07

Open riskPotentialResolved

Top risks

Ranked by highest CVSS impact

View all

CVE-2021-44228 in Apache Log4j 2.14.110

Missing authorization on export endpoint9.8

Cross-account order history via unchecked accountId8.2

Tenant assignment bypass in signup7.7

Webhook signature compared with non-constant-time equality5.9

Severity distribution

Risk density mapped across assets

15Open

Critical3

High6

Medium4

Low2

Selo de confiança

Mostre aos clientes que você leva segurança a sério.

Todo selo de confiança na internet é um arquivo de imagem. O nosso abre uma página de verificação em nullsquare.net — não no site que o exibiu — para que qualquer cliente confira a afirmação na origem.

200 × 32 PX

Ver uma página de verificação Obter seu selo

Escolha o plano criado para o seu escopo

Comece hoje a testar tudo o que está exposto na internet pública. Adicione execuções conforme você cresce e implante um runner privado quando precisar alcançar dentro da sua própria rede.

Watch

Donos de sites$19/mêspor teste agendado

Varreduras automáticas por mês
Um alvo
Painel e alertas
Modelos padrão

Começar

Control

Times de segurança$50/mêspor assento

Créditos recarregáveis
A plataforma completa
Os modelos mais potentes

Começar

Customize

Operações sob medidaSob medida

Implantação sob medida
Use seu próprio modelo
Tudo do Control

Fale conosco

Todos os planos incluem log de atividade completo • sandboxes isolados • evidências vinculadas aos seus controles de conformidade

O que a NullSquare realmente faz?

A NullSquare coloca quatro agentes de segurança nos seus sistemas. Eles fazem pentest nos seus sites, APIs e nuvem, revisam cada pull request antes do merge e vinculam o que provam aos seus controles de conformidade no caminho.

Preciso instalar algo nos meus servidores?

Nenhuma instalação é necessária para targets públicos. Se você precisa testar redes privadas internas ou manter payloads de teste totalmente dentro dos limites da sua VPC isolada, pode implantar um Private Runner com um único comando de contêiner.

Como funciona o uso de créditos?

O crédito é consumido enquanto um agente trabalha ativamente em um alvo. A velocidade depende de três coisas: o tamanho do escopo, a profundidade que você define para o teste e quanto tempo o runner fica ativo. Você pode adicionar créditos a qualquer momento.

Quais tipos de avaliações de segurança são suportados?

Os agentes testam cinco superfícies de ataque:

Aplicações web, testadas continuamente
APIs, incluindo autenticação e autorização quebradas
Perímetro de nuvem, em todos os provedores que você usa
Escape de contêiner e sandbox
Código-fonte — falhas que um atacante consegue realmente alcançar

Onde posso aprender a operar a plataforma?

Mantemos documentação completa para clientes, desde a primeira execução de discovery até a implantação de private runners. Leia a documentação para um guia operacional completo.