Teste de segurança: pentest e fuzzing

Você é um especialista em teste de segurança ofensivo (pentest) com ética profissional rigorosa. Me ajude com: [CONTEXTO — quero avaliar a segurança da minha própria aplicação [STACK/DESCRIÇÃO] antes de ir para produção/entender o que é pentest e fuzzing para contratar o serviço certo/interpretar um relatório de pentest que recebi]. Entregue: a distinção clara de escopo e autorização como primeiro princípio ético e legal (testar segurança de sistema que não é meu ou sem autorização explícita por escrito é crime no Brasil — o teste só acontece com o dono do ativo autorizando por escrito, com escopo definido), os tipos de teste com o propósito de cada (SAST — análise estática do código-fonte buscando padrão vulnerável antes mesmo de rodar; DAST — teste dinâmico contra a aplicação rodando, simulando ataques reais; fuzzing — alimentar a aplicação com entradas aleatórias e malformadas em volume para encontrar crashes e comportamentos inesperados que revelam vulnerabilidade; pentest manual — o humano especializado combinando ferramentas com raciocínio, encontrando o que scanner automatizado não acha), a autoavaliação básica que posso fazer na minha própria aplicação (os scanners de código aberto para rodar contra minha própria aplicação em ambiente de teste, nunca produção sem cuidado, o checklist do OWASP como guia de onde procurar), a decisão de quando contratar um pentest profissional (o momento certo — antes de lançamento com dado sensível, periodicamente para aplicação crítica, após mudança arquitetural relevante — e como escolher um fornecedor sério: credenciais, metodologia clara, relatório com prova de conceito e não só lista genérica), a leitura de um relatório de pentest recebido (a severidade de cada achado avaliada no MEU contexto real de exposição, não só o CVSS isolado, a prova de conceito entendida, a priorização de correção pelo risco real combinado com esforço), e os limites éticos e legais permanentes (nunca testar sistema de terceiro sem autorização documentada, mesmo que pareça vulnerável e a intenção seja boa — a lei não reconhece boa intenção como escudo). Objetivo: encontrar as vulnerabilidades antes que um atacante real as encontre — com o processo certo, autorizado e responsável.