Sites de cibersegurança: 18 exemplos e o que cada um faz bem

A resposta curta

Lemos em 7 de novembro de 2026 os sites de 12 empresas de segurança dos EUA, de segurança em nuvem e identidade a compliance automatizado, detecção gerenciada e programas de bug bounty, e os de 6 empresas brasileiras. Não é um ranking: cada uma está aqui porque mostra um padrão com clareza, para um CISO, um gestor de TI, um desenvolvedor ou o dono de uma pequena empresa.

O que os 12 dos EUA têm em comum:

• Um caminho para o comprador em apuros. 5 dos 12 têm na página inicial um link para emergências ou incidentes, e 4 o colocam no cabeçalho ou na barra superior.
• Preço público anda junto com compra self-service. 6 dos 12 publicam preços com números, e os 6 oferecem plano grátis ou teste grátis.
• Todos têm página de confiança; nem todas ajudam igual. Os 12 têm link para uma central de confiança ou página de segurança, mas só 5 servem um security.txt com os dois campos que o padrão exige.
• Pouco português. Só 4 dos 12 têm versão em português da página inicial.

Primeiro vêm as notas site a site, depois 6 exemplos do Brasil, os padrões, o que é específico de quem compra segurança (incluindo a LGPD) e um checklist.

Os 12 em resumo

Todos lidos em 7 de novembro de 2026 nas páginas em inglês que as empresas mostram nos EUA.

Quais têm versão em português

Se você vende no Brasil, é a primeira pergunta. Naquele dia encontramos:

• Com versão em português: Wiz, com versão para o Brasil que traduz também o link de emergência ("Sob ataque?"); Okta, com versão para o Brasil; Cloudflare, com versão para o Brasil ("Está sob ataque?"); e 1Password, em português.
• Sem versão à vista: Tailscale, Vanta, Huntress, Arctic Wolf, Rapid7, Chainguard, Expel e HackerOne.

As versões traduzidas nem sempre acompanham a original: a página da Cloudflare para o Brasil tinha outro título ("Conectar, proteger e criar em todos os lugares") e não mostrava os preços que a versão em inglês coloca na página inicial.

Doze exemplos, um padrão em cada

Wiz: uma autoavaliação para quem ainda não quer uma demo

A Wiz, plataforma de segurança em nuvem, abre com "Protect Everything You Build and Run" e um formulário de demo no topo. A prova é pensada para um CISO: "Trusted by more than 65% of Fortune 100 companies", 18 logos de clientes, nota no G2 com 916 avaliações, um Forrester Wave, um IDC MarketScape e citações de líderes de segurança com nome e cargo.

"Under attack?" fica no cabeçalho ao lado de "Get a demo". Para quem ainda não quer conversar, uma autoavaliação grátis faz 9 perguntas, uma por domínio de segurança, e devolve um nível de risco. A página de preços explica o modelo de licenças sem números, e a central de confiança data cada certificação; a mais recente que vimos era de 3 de dezembro de 2025.

Vale copiar: uma autoavaliação que entrega um resultado, para a primeira ligação partir das respostas do comprador.

Okta: números com o método junto

A Okta, empresa de identidade, alterna títulos sobre agentes de IA e coloca um telefone na barra superior. Os cases de clientes começam por números. Os preços são públicos: o pacote Starter começa em USD 6 por usuário por mês e o Essentials em USD 17, com cobrança anual e mínimo de USD 1.500 por ano (preços da Okta).

O que se destaca é o método. A página de confiança da Okta mostra disponibilidade de 99,99% em 12 meses e uma nota explicando que o número é a média dos incidentes que afetaram pelo menos 10% dos clientes. A página Secure Identity Commitment atribui os números de ataques a relatórios internos de 1º de abril a 1º de julho de 2026, e a página inicial avisa que algumas imagens foram geradas com Midjourney.

Vale copiar: colocar o método e o período ao lado de cada número que você publica.

1Password: a criptografia explicada em uma frase

A 1Password abre com "Secure access for every human and AI agent" e duas portas, "Talk to sales" e "View plans". A página de segurança explica o modelo de chave dupla em palavras simples: a empresa não pode usar, perder nem abusar de dados que não tem. Um white paper e as auditorias publicadas ficam para quem quer profundidade.

O 1Password Business custa USD 8,99 por usuário por mês com cobrança anual, com teste de 14 dias sem cartão de crédito, e o rodapé oferece um gerador de senhas grátis.

Vale copiar: explicar o seu modelo de segurança em uma frase que alguém de fora possa repetir, e linkar o white paper.

Cloudflare: preços na página inicial

A Cloudflare abre com "Everything we learned from powering 20% of the Internet" e "Start building for free". Diz bloquear 310 bilhões de ameaças por dia e depois imprime preços na própria página inicial: um plano grátis, Pro a USD 20 por mês e Business a USD 200, com cobrança anual, e um plano Zero Trust em que os primeiros 50 funcionários são grátis.

"Under attack?" fica no cabeçalho. A página de emergência explica a resposta em três etapas, do diagnóstico ao monitoramento, ao lado de um formulário. O rodapé tem links para o Trust Hub e para o Cloudflare Radar, seus dados públicos sobre a internet.

Vale copiar: se uma equipe pequena pode comprar sem ligação, coloque o preço onde ela decide.

Tailscale: um programa para o funcionário que leva a ferramenta para o trabalho

A Tailscale muitas vezes começa com um engenheiro que a usa em casa. O texto usa de propósito o vocabulário do comprador ("replaces your legacy VPN, SASE, and PAM") e cita posts de desenvolvedores sob "Developer approved". O plano pessoal é grátis para até 6 usuários; Standard custa USD 8 e Premium USD 18 por usuário por mês.

O link "Make the case" do menu abre Bring Tailscale to work: um plano de implantação, plantões mensais de dúvidas e recompensas, até três meses grátis de um plano para equipes. A página de segurança diz que a Tailscale vê seus metadados, não seus dados, lista o que ela recebe e aponta para o código aberto para você conferir.

Vale copiar: se o uso começa de baixo para cima, crie uma página que ajude o seu fã a vender você dentro da empresa dele.

Vanta: as normas como menu

O comprador da Vanta costuma chegar com o nome de uma norma e um prazo. O título é "Get your compliance together", o topo pede só um e-mail e os menus organizam por porte de empresa e por norma (SOC 2, ISO 27001, HIPAA, FedRAMP e outras), cada uma com seu guia ou checklist. A prova começa com "Trusted by 16,000 businesses".

A página de preços lista quatro planos e oferece preço personalizado depois de uma demo. A Vanta vende centrais de confiança, inclui uma no plano de entrada e tem link para a sua, mas essa página só carrega com JavaScript e não conseguimos lê-la. O security.txt dela era válido, mas vencia em 15 de novembro de 2026, oito dias depois da nossa visita.

Vale copiar: se os compradores buscam por norma, faça de cada norma uma página e um item de menu.

Huntress: preço de tabela mesmo vendendo por parceiros

A Huntress escreve para pequenas empresas e para os MSPs que as atendem: "Hackers Wrecked. Your Enterprise Secured.", com um SOC 24/7 por trás e "Start for Free". A prova é volume e avaliações: "Securing 285k+ Businesses Like Yours" e nota 4,8 de 5 em mais de 1.200 avaliações no G2.

A página de preços publica preços de tabela, como Managed EDR a USD 8,99 por mês por endpoint, e avisa que a maioria compra por um parceiro e que a compra direta exige 50 licenças por produto. Um programa recorrente, o Tradecraft Tuesday, promete zero produto e zero discurso de venda.

Vale copiar: publicar preço de tabela mesmo quando parceiros vendem, para o comprador pequeno conseguir orçar antes de ligar.

Arctic Wolf: uma garantia que admite que nada impede tudo

A Arctic Wolf coloca "Experienced a Breach?" em primeiro lugar na barra superior; a página de emergência mostra um número gratuito, números internacionais e um formulário. As estatísticas de ameaças citam a fonte em nota: o próprio relatório de tendências de 2026 e o Cost of a Data Breach 2026 da IBM.

A prova diferente é financeira. A garantia de operações de segurança cobre até USD 3 milhões em eventos cobertos, diz que nenhuma solução de cibersegurança consegue impedir 100% dos ataques e traz o link dos termos.

Vale copiar: se você garante o serviço com dinheiro, diga o que cobre, mostre os termos e não prometa perfeição.

Rapid7: ferramentas grátis que a comunidade já usa

A Rapid7 abre com "The Preemptive MDR Leader that Outpaces Attackers" e quatro menções de analistas. O ativo mais forte está no menu Intelligence: o Metasploit, que a Rapid7 chama de ferramenta de teste de invasão mais usada do mundo, a plataforma forense Velociraptor e um banco de dados de vulnerabilidades.

"Get Breach Support", no rodapé, leva a uma página de resposta a incidentes com telefone 24/7, +1-844-RAPID-IR. A página de confiança da Rapid7 foi a única que lemos com link para o relatório do seu compromisso Secure by Design da CISA.

Vale copiar: ferramentas grátis que os profissionais usam todo dia trazem esse público de volta mais que um blog.

Chainguard: uma afirmação que dá para conferir num catálogo público

A Chainguard vende imagens open source endurecidas para equipes de plataforma, e as afirmações são específicas: "3,000+ images with 97.6% fewer CVEs than public alternatives" e um SLA de um dia para vulnerabilidades sabidamente exploradas. A página de preços transforma isso em condições: 5 imagens grátis, SLA contratual de 7 dias para CVEs críticas e 14 para as demais, e um catálogo que começa em USD 19K para uma equipe de 10.

O diretório público de imagens deixa qualquer pessoa explorar e comparar imagens; a calculadora dizia que 5 imagens comuns (Go, Node, Python, Ruby, Rust) eliminariam 4.179 vulnerabilidades, uma redução de 99,71%.

Vale copiar: transformar a sua afirmação principal em algo que um engenheiro cético possa testar sem falar com vendas.

Expel: uma página de segurança para quem avalia fornecedores

A Expel escreve com voz direta: "From detection to done. Faster.", analistas com quem você fala por Slack ou Teams e "Forrester says we're a Leader. We agree.", com o aviso da Forrester em nota. Quem não quer uma ligação pode entrar numa demo em grupo de 30 minutos.

A página para estudar é "Security & compliance, plainly stated." Ela nomeia "The four documents that answer 90% of vendor reviews", disponíveis sob acordo de confidencialidade: o relatório SOC 2 Type II com carta-ponte, um relatório NIST SP 800-171, uma visão da arquitetura escrita para revisores de segurança e não para o marketing, e uma ficha sobre o uso de IA.

Vale copiar: dizer a quem avalia quais documentos precisa, em que ordem e como pedir.

HackerOne: uma porta para "Contacted by a hacker?"

A HackerOne atende empresas que precisam de testes e os pesquisadores que os fazem. "Not every vulnerability matters. Fix the ones that do." fala com as primeiras; "Help build a safer internet" e um ranking público, com os segundos. Ao lado do formulário de contato, diz que a equipe costuma responder em 1 dia útil.

A barra superior tem um link que poucos sites têm: "Contacted by a hacker?". Ele oferece ajuda à empresa que foi contatada por um hacker para planejar os próximos passos, orienta quem está sendo extorquido a procurar as autoridades e menciona um programa de divulgação grátis. A central de confiança lista 11 certificações, entre elas ISO 29147 e ISO 30111, as normas de divulgação e de tratamento de vulnerabilidades.

Vale copiar: mapear os momentos em que um desconhecido precisa de você com urgência e dar a cada um um link com nome.

Seis exemplos do Brasil

Lemos no mesmo dia, em português, os sites de seis empresas brasileiras de segurança. Nenhuma serviu um security.txt em /.well-known/ (a ISH redireciona esse endereço para a página inicial), e nenhuma aparece na lista de signatários da CISA.

Segura: assumir a posição de Challenger

A Segura, antiga senhasegura, de gestão de acessos privilegiados (PAM), abre com "Exija mais da sua plataforma PAM." Em vez de se dizer líder, a página inicial fala em "Orgulho em ser Challenger" no Quadrante Mágico do Gartner de 2026 para PAM e lista os anos em que foi reconhecida: 2018, 2020, 2021, 2025 e 2026.

A central de confiança explica cada certificação em português: o que é o SOC 3, por que ele é público, o selo de LGPD e a condição de CNA do programa CVE. Dois detalhes a corrigir: a página de preços se chama "Preço simples e transparente" mas não mostra valores, e chama a solução de "Líder de mercado"; e o parágrafo do SOC 3 ainda diz "senhasegura".

Vale copiar: uma central de confiança que explica cada certificado em linguagem simples, e uma posição de analista descrita como ela é.

ISH Tecnologia: falar a língua do comprador público

A ISH abre com "Cibersegurança para quem não pode parar" e escreve para órgãos e instituições públicas. A seção de desafios usa as palavras desse comprador: o "ciclo orçamentário público", ferramentas compradas "via licitação", a contratação de talentos dentro das "regras do serviço público" e a legislação. O site diz que a empresa é reconhecida pelo Ministério da Defesa como Empresa Estratégica de Defesa e cita "+ 1 milhão de ativos protegidos".

A política de privacidade marca com "[INSERÇÃO 2026]" os trechos acrescentados e explica que faz isso por transparência, além de publicar o contato do encarregado. Na página inicial, porém, aparece o texto "Oops... No slides found, please add some slides".

Vale copiar: descrever os problemas do comprador com as palavras que ele usa no dia a dia, como licitação e ciclo orçamentário.

Apura: um produto amarrado a uma norma do Banco Central

A Apura, de inteligência de ameaças na deep e dark web, abre com "Inteligência que antecipa ameaças digitais e fortalece decisões". Um dos produtos é apresentado a partir de uma norma: "As novas resoluções do Banco Central do Brasil Nº 538 e CMN N° 5.274/2025 mudaram o jogo para o setor financeiro", diz o site, que oferece o BTTFinGuard com "Certificado de conformidade". Resposta a incidentes 24/7 aparece como serviço.

Conferimos a primeira no site do Banco Central: a Resolução BCB nº 538, de 18 de dezembro de 2025, altera a Resolução BCB nº 85, que "dispõe sobre a política de segurança cibernética" de instituições de pagamento, corretoras e distribuidoras.

Vale copiar: ligar a oferta à norma que o comprador precisa cumprir, com o número da norma, para ele conferir.

Hacker Rangers: fonte entre parênteses e preço em reais

A Hacker Rangers, de conscientização em segurança com gamificação, abre com "Transforme a conscientização em cibersegurança em comportamentos mais seguros". Cada estatística vem com fonte e ano entre parênteses: Gallup 2025, Harvard Business Review 2019, ETH Zurich 2023, TalentMLS 2022. Duas frases ficam sem fonte: "Até o Google abandonou as simulações de phishing" e "a única solução 100% gamificada do mundo".

A página de preços mostra valores em reais: Free Edition a R$ 0 e Enterprise a R$ 14,75 por usuário por mês, com um simulador por número de licenças e anos de contrato. A mensagem de confirmação do formulário ficou em inglês.

Vale copiar: fonte e ano entre parênteses depois de cada número, e o preço na moeda do comprador.

Clavis: uma oferta ligada ao calendário

A Clavis usava a página inicial de novembro para uma oferta da época: "Faça um diagnóstico rápido e gratuito sobre fraudes digitais e se prepare para a Black Friday". O menu de serviços inclui resposta a incidentes e computação forense, e o de conteúdos tem livros próprios, o portal Seginfo e uma academia; os posts mais recentes eram de 29 de outubro de 2026.

A política de privacidade nomeia o encarregado de dados e indica o canal de contato.

Vale copiar: uma oferta grátis ligada à data que preocupa o comprador agora.

Blockbit: números legíveis e o DPO no rodapé

A Blockbit, fabricante brasileira de firewall, SD-WAN e XDR, apresenta "Novos Appliances BBX Desenvolvidos para o mercado brasileiro". A seção "Blockbit em números" traz os números no próprio HTML, como "Mais de 9.200.000 de ameaças únicas protegidas" e "Mais de 97.000 regras de prevenção de intrusão".

O rodapé tem telefone, endereço em São Paulo e o e-mail do DPO. Foi a única das sete páginas iniciais brasileiras que lemos com o contato do encarregado à vista; as outras o colocam na política de privacidade, quando colocam.

Vale copiar: números que existem sem JavaScript e o contato do encarregado onde qualquer pessoa encontra.

Padrões nos 12 dos EUA

O que a tabela sugere:

1. Emergência vai no cabeçalho. Uma empresa sob ataque não rola a página, e os 4 links do cabeçalho usam as palavras do comprador ("Under attack?", "Experienced a Breach?").
2. Preço público anda com compra self-service. Os outros explicam o modelo (Wiz) ou listam pacotes (Vanta, Expel) para o comprador saber o que perguntar.
3. Prova sobra; método é raro. Os 12 mostram clientes, mas poucos colocam fonte ou método ao lado dos números; Okta, Arctic Wolf e Expel colocam.
4. O básico fica para trás. Só 5 dos 12 arquivos security.txt cumprem os dois campos obrigatórios da RFC 9116, em empresas que vendem segurança. Nos 7 brasileiros, não encontramos nenhum.

O que é específico de quem compra segurança

Quem compra segurança lê um site como avalia um produto: procura evidência e percebe o que falta.

Centrais de confiança que respondem a quem avalia

Os 12 dos EUA têm link para uma central de confiança ou página de segurança, então ter uma não diferencia; o detalhe, sim. A Wiz data cada certificação, a Okta explica o número de disponibilidade, a Expel nomeia os documentos e a central da HackerOne mostra a data da última atualização. As centrais da Vanta e da Chainguard só carregam com JavaScript e a da Huntress nos bloqueou: o navegador do comprador mostra, mas um robô de busca ou um assistente de IA pode ver uma página vazia.

security.txt: 9 de 12 têm, 5 cumprem o básico

A RFC 9116 define um arquivo de texto que diz aos pesquisadores como reportar uma vulnerabilidade. Ele deve ficar no caminho "/.well-known/" e ter dois campos: Contact, que "MUST always be present", e Expires, também obrigatório e que a RFC recomenda manter a menos de um ano.

Em 7 de novembro de 2026, 9 dos 12 serviam o arquivo em /.well-known/. A HackerOne serve um só no caminho antigo, na raiz do domínio, e Chainguard e Huntress não tinham nenhum. Dos 9, 1Password, Cloudflare e Arctic Wolf não têm o campo Expires, e a Rapid7 renomeia os dois campos obrigatórios ("Contact Security Team:"), então um leitor padrão não encontra nenhum. Os da Wiz e da Expel vencem em 2028 e 2030, além do ano recomendado. A maioria tem link para uma política de divulgação, que diz aos pesquisadores o que eles podem testar; a da Wiz os manda para o programa Bug Hunters do Google.

O compromisso Secure by Design da CISA

O compromisso da CISA, a agência de cibersegurança dos EUA, é "voluntary and not legally binding", e a CISA diz que não verifica o cumprimento. Uma das sete metas é publicar uma política de divulgação que autorize testes pelo público e prometa não processar pesquisadores de boa-fé.

Nove dos nossos 12 estão na lista de signatários da CISA: Wiz, Okta, Cloudflare, Vanta, Huntress, Arctic Wolf, Rapid7, Chainguard e HackerOne. Nenhuma das 12 páginas iniciais menciona o compromisso, e das páginas de confiança que lemos, só a da Rapid7 tem link para o relatório. Se você assinou, coloque o link: é uma evidência que quem avalia consegue conferir.

O contato do encarregado (LGPD)

Para quem vende no Brasil, há uma regra que mexe no site. O art. 41, § 1º, da LGPD diz: "A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador."

Dos 7 sites brasileiros que lemos (os seis acima e a Tempest), 5 publicam esse contato: a Blockbit no rodapé da página inicial, e Tempest, ISH, Apura e Clavis na política de privacidade. Numa empresa que vende proteção de dados, deixar esse contato fácil de achar é parte da prova. Isto é informação geral, não aconselhamento jurídico.

Afirmações a evitar

O guia de publicidade da FTC, a autoridade de defesa do consumidor dos EUA, diz que anunciantes "must have evidence to back up their claims" e precisam ter pelo menos o nível de evidência que dizem ter. Para quem vende a compradores dos EUA, num site de segurança isso significa:

• Nada de promessa absoluta. A garantia da Arctic Wolf e a central da HackerOne partem de que nada é 100% seguro.
• Superlativo com fonte. "Líder de mercado" e "maior empresa" precisam dizer segundo quem.
• Um número por fato. A página inicial da Cloudflare diz 335+ cidades numa seção e 330+ em outra.
• Números que existam no HTML. Os contadores animados da Wiz, da página de incidentes da Rapid7 e da seção "Somos a maior empresa especializada em cibersegurança do Brasil" da Tempest aparecem como "0" no código, que é o que um robô de busca ou um assistente de IA pode citar.

Isto é informação geral, não aconselhamento jurídico.

Checklist para o site da sua empresa de cibersegurança

O que fazer agora

Aplique o checklist na sua página inicial, na sua página de confiança e no seu security.txt, e anote onde você fica atrás dos sites acima. Se você vende para grandes empresas com avaliações de segurança longas, o nosso serviço de criação de sites B2B planeja as páginas de confiança junto com as de vendas. Se você vende um produto com plano grátis ou compra online, veja site para SaaS; e os nossos exemplos de sites B2B mostram os mesmos padrões fora da segurança.

Se as lacunas somarem mais do que alguns ajustes, um redesign de site refaz a estrutura, o texto e as provas ao mesmo tempo. Para ver o que robôs de busca e assistentes de IA conseguem ler no seu site atual, teste o nosso verificador de visibilidade em IA, grátis.