--- title: "Sites de cibersegurança: 18 exemplos para se inspirar" description: "18 sites de cibersegurança lidos em 7 de novembro de 2026: emergências, centrais de confiança, security.txt, preços e provas, mais um checklist." url: "https://dardo.studio/pt/blog/sites-de-ciberseguranca/" language: "pt" translations: {"en":"https://dardo.studio/en/blog/cybersecurity-website-design/","es":"https://dardo.studio/es/blog/diseno-web-ciberseguridad/"} updated: "2026-11-08T05:14:55.070Z" --- [Blog](https://dardo.studio/pt/blog/) # Sites de cibersegurança: 18 exemplos e o que cada um faz bem 12 sites de segurança dos EUA e 6 do Brasil lidos em 7 de novembro de 2026: como conquistam a confiança do comprador e o que copiar no seu. Por [Nicolás Cerón](https://dardo.studio/pt/nicolas-ceron/) · 8 de novembro de 2026 ![Uma portaria fortificada de pedra sobre uma ponte e um fosso à noite, com lanternas âmbar nas muralhas e o pesado portão pintado de carmesim.](https://dardo.studio/_astro/01M6WMFT3E8GWQGB31YEVWQQGM_Z2w1Jj8.webp) ## Pontos-chave - Dos 12 sites de empresas de segurança dos EUA lidos em 7 de novembro de 2026, 5 têm na página inicial um link para emergências ou incidentes, e 4 o colocam no cabeçalho ou na barra superior. - 6 dos 12 publicam preços com números, do plano grátis da Tailscale para até 6 usuários ao catálogo da Chainguard, que começa em USD 19K para uma equipe de 10. - 9 dos 12 servem um arquivo security.txt em /.well-known/, mas só 5 trazem os dois campos que a RFC 9116 exige; nenhum dos 7 sites brasileiros que lemos serviu um. - Só 4 dos 12 sites dos EUA têm versão em português da página inicial: Wiz, Okta, Cloudflare e 1Password. - Dos 7 sites brasileiros lidos, 5 publicam o contato do encarregado de dados, como pede o art. 41 da LGPD: a Blockbit no rodapé da página inicial e Tempest, ISH, Apura e Clavis na política de privacidade. ## A resposta curta Lemos em 7 de novembro de 2026 os sites de 12 empresas de segurança dos EUA, de segurança em nuvem e identidade a compliance automatizado, detecção gerenciada e programas de bug bounty, e os de 6 empresas brasileiras. Não é um ranking: cada uma está aqui porque mostra um padrão com clareza, para um CISO, um gestor de TI, um desenvolvedor ou o dono de uma pequena empresa. O que os 12 dos EUA têm em comum: - **Um caminho para o comprador em apuros.** 5 dos 12 têm na página inicial um link para emergências ou incidentes, e 4 o colocam no cabeçalho ou na barra superior. - **Preço público anda junto com compra self-service.** 6 dos 12 publicam preços com números, e os 6 oferecem plano grátis ou teste grátis. - **Todos têm página de confiança; nem todas ajudam igual.** Os 12 têm link para uma central de confiança ou página de segurança, mas só 5 servem um security.txt com os dois campos que o padrão exige. - **Pouco português.** Só 4 dos 12 têm versão em português da página inicial. Primeiro vêm as notas site a site, depois 6 exemplos do Brasil, os padrões, o que é específico de quem compra segurança (incluindo a LGPD) e um checklist. ## Os 12 em resumo | Site e comprador | Caminho de emergência na página inicial | Preços públicos | Página de confiança ou segurança | | --------------------------------------------------------------------------------------------------- | ------------------------------------------ | ---------------------------------------------------- | ------------------------------------------------- | | [Wiz](https://www.wiz.io/), segurança em nuvem, CISOs | "Under attack?" no cabeçalho | Não; explica o modelo de licenças | Central de confiança com certificações datadas | | [Okta](https://www.okta.com/), identidade, equipes de TI | Não | Sim, a partir de USD 6 por usuário por mês | Página de confiança com disponibilidade e método | | [1Password](https://1password.com/), acessos, TI e pessoas | Não | Sim, Business a USD 8,99 por usuário por mês | Página de segurança e white paper | | [Cloudflare](https://www.cloudflare.com/), segurança de rede, desenvolvedores e empresas | "Under attack?" no cabeçalho | Sim, na página inicial | Trust Hub | | [Tailscale](https://tailscale.com/), conectividade, desenvolvedores e TI | Não | Sim, grátis para até 6 usuários | Página de segurança | | [Vanta](https://www.vanta.com/), compliance automatizado, de startups a grandes empresas | Não | Não; lista planos | Link para central de confiança | | [Huntress](https://www.huntress.com/), segurança gerenciada, pequenas empresas e MSPs | Não | Sim, preços de tabela | Link para central de confiança | | [Arctic Wolf](https://arcticwolf.com/), detecção gerenciada, médias empresas | "Experienced a Breach?" na barra superior | Não | Página de segurança da informação | | [Rapid7](https://www.rapid7.com/), detecção e exposição, equipes de segurança | "Get Breach Support" no rodapé | Não | Página de confiança com o compromisso da CISA | | [Chainguard](https://www.chainguard.dev/), cadeia de suprimentos open source, equipes de plataforma | Não | Em parte: plano grátis, catálogo a partir de USD 19K | Link para central de confiança | | [Expel](https://expel.com/), detecção gerenciada, líderes de SOC | Não | Não; lista pacotes | Página de segurança para quem avalia fornecedores | | [HackerOne](https://www.hackerone.com/), testes ofensivos, equipes de AppSec e pesquisadores | "Contacted by a hacker?" na barra superior | Não | Central de confiança com 11 certificações | Todos lidos em 7 de novembro de 2026 nas páginas em inglês que as empresas mostram nos EUA. ### Quais têm versão em português Se você vende no Brasil, é a primeira pergunta. Naquele dia encontramos: - **Com versão em português:** Wiz, com [versão para o Brasil](https://www.wiz.io/pt-br) que traduz também o link de emergência ("Sob ataque?"); Okta, com [versão para o Brasil](https://www.okta.com/pt-br/); Cloudflare, com [versão para o Brasil](https://www.cloudflare.com/pt-br/) ("Está sob ataque?"); e 1Password, em português. - **Sem versão à vista:** Tailscale, Vanta, Huntress, Arctic Wolf, Rapid7, Chainguard, Expel e HackerOne. As versões traduzidas nem sempre acompanham a original: a página da Cloudflare para o Brasil tinha outro título ("Conectar, proteger e criar em todos os lugares") e não mostrava os preços que a versão em inglês coloca na página inicial. Site B2B Quer que a Dardo faça isso por você? Conte o que você precisa. Nico responde pessoalmente em até um dia útil. [Pedir uma proposta](https://dardo.studio/pt/contato/?service=b2b-website-design) · [Ver o serviço](https://dardo.studio/pt/servicos/site-b2b/) ## Doze exemplos, um padrão em cada ### Wiz: uma autoavaliação para quem ainda não quer uma demo A [Wiz](https://www.wiz.io/), plataforma de segurança em nuvem, abre com "Protect Everything You Build and Run" e um formulário de demo no topo. A prova é pensada para um CISO: "Trusted by more than 65% of Fortune 100 companies", 18 logos de clientes, nota no G2 com 916 avaliações, um Forrester Wave, um IDC MarketScape e citações de líderes de segurança com nome e cargo. "Under attack?" fica no cabeçalho ao lado de "Get a demo". Para quem ainda não quer conversar, uma [autoavaliação grátis](https://www.wiz.io/cloud-security-assessment) faz 9 perguntas, uma por domínio de segurança, e devolve um nível de risco. A página de preços explica o modelo de licenças sem números, e a [central de confiança](https://www.wiz.io/trust-center) data cada certificação; a mais recente que vimos era de 3 de dezembro de 2025. **Vale copiar:** uma autoavaliação que entrega um resultado, para a primeira ligação partir das respostas do comprador. ### Okta: números com o método junto A [Okta](https://www.okta.com/), empresa de identidade, alterna títulos sobre agentes de IA e coloca um telefone na barra superior. Os cases de clientes começam por números. Os preços são públicos: o pacote Starter começa em USD 6 por usuário por mês e o Essentials em USD 17, com cobrança anual e mínimo de USD 1.500 por ano ([preços da Okta](https://www.okta.com/pricing/)). O que se destaca é o método. A [página de confiança da Okta](https://trust.okta.com/) mostra disponibilidade de 99,99% em 12 meses e uma nota explicando que o número é a média dos incidentes que afetaram pelo menos 10% dos clientes. A página Secure Identity Commitment atribui os números de ataques a relatórios internos de 1º de abril a 1º de julho de 2026, e a página inicial avisa que algumas imagens foram geradas com Midjourney. **Vale copiar:** colocar o método e o período ao lado de cada número que você publica. ### 1Password: a criptografia explicada em uma frase A [1Password](https://1password.com/) abre com "Secure access for every human and AI agent" e duas portas, "Talk to sales" e "View plans". A [página de segurança](https://1password.com/security) explica o modelo de chave dupla em palavras simples: a empresa não pode usar, perder nem abusar de dados que não tem. Um white paper e as auditorias publicadas ficam para quem quer profundidade. O 1Password Business custa USD 8,99 por usuário por mês com cobrança anual, com teste de 14 dias sem cartão de crédito, e o rodapé oferece um gerador de senhas grátis. **Vale copiar:** explicar o seu modelo de segurança em uma frase que alguém de fora possa repetir, e linkar o white paper. ### Cloudflare: preços na página inicial A [Cloudflare](https://www.cloudflare.com/) abre com "Everything we learned from powering 20% of the Internet" e "Start building for free". Diz bloquear 310 bilhões de ameaças por dia e depois imprime preços na própria página inicial: um plano grátis, Pro a USD 20 por mês e Business a USD 200, com cobrança anual, e um plano Zero Trust em que os primeiros 50 funcionários são grátis. "Under attack?" fica no cabeçalho. A [página de emergência](https://www.cloudflare.com/under-attack-hotline/) explica a resposta em três etapas, do diagnóstico ao monitoramento, ao lado de um formulário. O rodapé tem links para o Trust Hub e para o Cloudflare Radar, seus dados públicos sobre a internet. **Vale copiar:** se uma equipe pequena pode comprar sem ligação, coloque o preço onde ela decide. ### Tailscale: um programa para o funcionário que leva a ferramenta para o trabalho A [Tailscale](https://tailscale.com/) muitas vezes começa com um engenheiro que a usa em casa. O texto usa de propósito o vocabulário do comprador ("replaces your legacy VPN, SASE, and PAM") e cita posts de desenvolvedores sob "Developer approved". O plano pessoal é grátis para até 6 usuários; Standard custa USD 8 e Premium USD 18 por usuário por mês. O link "Make the case" do menu abre [Bring Tailscale to work](https://tailscale.com/bring-tailscale-to-work): um plano de implantação, plantões mensais de dúvidas e recompensas, até três meses grátis de um plano para equipes. A [página de segurança](https://tailscale.com/security) diz que a Tailscale vê seus metadados, não seus dados, lista o que ela recebe e aponta para o código aberto para você conferir. **Vale copiar:** se o uso começa de baixo para cima, crie uma página que ajude o seu fã a vender você dentro da empresa dele. ### Vanta: as normas como menu O comprador da [Vanta](https://www.vanta.com/) costuma chegar com o nome de uma norma e um prazo. O título é "Get your compliance together", o topo pede só um e-mail e os menus organizam por porte de empresa e por norma (SOC 2, ISO 27001, HIPAA, FedRAMP e outras), cada uma com seu guia ou checklist. A prova começa com "Trusted by 16,000 businesses". A página de preços lista quatro planos e oferece preço personalizado depois de uma demo. A Vanta vende centrais de confiança, inclui uma no plano de entrada e tem link para a sua, mas essa página só carrega com JavaScript e não conseguimos lê-la. O security.txt dela era válido, mas vencia em 15 de novembro de 2026, oito dias depois da nossa visita. **Vale copiar:** se os compradores buscam por norma, faça de cada norma uma página e um item de menu. ### Huntress: preço de tabela mesmo vendendo por parceiros A [Huntress](https://www.huntress.com/) escreve para pequenas empresas e para os MSPs que as atendem: "Hackers Wrecked. Your Enterprise Secured.", com um SOC 24/7 por trás e "Start for Free". A prova é volume e avaliações: "Securing 285k+ Businesses Like Yours" e nota 4,8 de 5 em mais de 1.200 avaliações no G2. A [página de preços](https://www.huntress.com/pricing) publica preços de tabela, como Managed EDR a USD 8,99 por mês por endpoint, e avisa que a maioria compra por um parceiro e que a compra direta exige 50 licenças por produto. Um programa recorrente, o Tradecraft Tuesday, promete zero produto e zero discurso de venda. **Vale copiar:** publicar preço de tabela mesmo quando parceiros vendem, para o comprador pequeno conseguir orçar antes de ligar. ### Arctic Wolf: uma garantia que admite que nada impede tudo A [Arctic Wolf](https://arcticwolf.com/) coloca "Experienced a Breach?" em primeiro lugar na barra superior; a [página de emergência](https://arcticwolf.com/emergency-incident-response/) mostra um número gratuito, números internacionais e um formulário. As estatísticas de ameaças citam a fonte em nota: o próprio relatório de tendências de 2026 e o Cost of a Data Breach 2026 da IBM. A prova diferente é financeira. A [garantia de operações de segurança](https://arcticwolf.com/why-arctic-wolf/security-operations-warranty/) cobre até USD 3 milhões em eventos cobertos, diz que nenhuma solução de cibersegurança consegue impedir 100% dos ataques e traz o link dos termos. **Vale copiar:** se você garante o serviço com dinheiro, diga o que cobre, mostre os termos e não prometa perfeição. ### Rapid7: ferramentas grátis que a comunidade já usa A [Rapid7](https://www.rapid7.com/) abre com "The Preemptive MDR Leader that Outpaces Attackers" e quatro menções de analistas. O ativo mais forte está no menu Intelligence: o Metasploit, que a Rapid7 chama de ferramenta de teste de invasão mais usada do mundo, a plataforma forense Velociraptor e um banco de dados de vulnerabilidades. "Get Breach Support", no rodapé, leva a uma [página de resposta a incidentes](https://www.rapid7.com/services/incident-response/) com telefone 24/7, +1-844-RAPID-IR. A [página de confiança da Rapid7](https://www.rapid7.com/trust/) foi a única que lemos com link para o relatório do seu compromisso Secure by Design da CISA. **Vale copiar:** ferramentas grátis que os profissionais usam todo dia trazem esse público de volta mais que um blog. ### Chainguard: uma afirmação que dá para conferir num catálogo público A [Chainguard](https://www.chainguard.dev/) vende imagens open source endurecidas para equipes de plataforma, e as afirmações são específicas: "3,000+ images with 97.6% fewer CVEs than public alternatives" e um SLA de um dia para vulnerabilidades sabidamente exploradas. A [página de preços](https://www.chainguard.dev/pricing) transforma isso em condições: 5 imagens grátis, SLA contratual de 7 dias para CVEs críticas e 14 para as demais, e um catálogo que começa em USD 19K para uma equipe de 10. O [diretório público de imagens](https://images.chainguard.dev/) deixa qualquer pessoa explorar e comparar imagens; a calculadora dizia que 5 imagens comuns (Go, Node, Python, Ruby, Rust) eliminariam 4.179 vulnerabilidades, uma redução de 99,71%. **Vale copiar:** transformar a sua afirmação principal em algo que um engenheiro cético possa testar sem falar com vendas. ### Expel: uma página de segurança para quem avalia fornecedores A [Expel](https://expel.com/) escreve com voz direta: "From detection to done. Faster.", analistas com quem você fala por Slack ou Teams e "Forrester says we're a Leader. We agree.", com o aviso da Forrester em nota. Quem não quer uma ligação pode entrar numa demo em grupo de 30 minutos. A página para estudar é "[Security & compliance, plainly stated.](https://expel.com/security-compliance/)" Ela nomeia "The four documents that answer 90% of vendor reviews", disponíveis sob acordo de confidencialidade: o relatório SOC 2 Type II com carta-ponte, um relatório NIST SP 800-171, uma visão da arquitetura escrita para revisores de segurança e não para o marketing, e uma ficha sobre o uso de IA. **Vale copiar:** dizer a quem avalia quais documentos precisa, em que ordem e como pedir. ### HackerOne: uma porta para "Contacted by a hacker?" A [HackerOne](https://www.hackerone.com/) atende empresas que precisam de testes e os pesquisadores que os fazem. "Not every vulnerability matters. Fix the ones that do." fala com as primeiras; "Help build a safer internet" e um ranking público, com os segundos. Ao lado do formulário de contato, diz que a equipe costuma responder em 1 dia útil. A barra superior tem um link que poucos sites têm: "[Contacted by a hacker?](https://www.hackerone.com/contact/security-incident)". Ele oferece ajuda à empresa que foi contatada por um hacker para planejar os próximos passos, orienta quem está sendo extorquido a procurar as autoridades e menciona um programa de divulgação grátis. A central de confiança lista 11 certificações, entre elas ISO 29147 e ISO 30111, as normas de divulgação e de tratamento de vulnerabilidades. **Vale copiar:** mapear os momentos em que um desconhecido precisa de você com urgência e dar a cada um um link com nome. ## Seis exemplos do Brasil Lemos no mesmo dia, em português, os sites de seis empresas brasileiras de segurança. Nenhuma serviu um security.txt em /.well-known/ (a ISH redireciona esse endereço para a página inicial), e nenhuma aparece na lista de signatários da CISA. ### Segura: assumir a posição de Challenger A [Segura](https://segura.security/pt-br/), antiga senhasegura, de gestão de acessos privilegiados (PAM), abre com "Exija mais da sua plataforma PAM." Em vez de se dizer líder, a página inicial fala em "Orgulho em ser Challenger" no Quadrante Mágico do Gartner de 2026 para PAM e lista os anos em que foi reconhecida: 2018, 2020, 2021, 2025 e 2026. A [central de confiança](https://segura.security/pt-br/empresa/trust-center/) explica cada certificação em português: o que é o SOC 3, por que ele é público, o selo de LGPD e a condição de CNA do programa CVE. Dois detalhes a corrigir: a página de preços se chama "Preço simples e transparente" mas não mostra valores, e chama a solução de "Líder de mercado"; e o parágrafo do SOC 3 ainda diz "senhasegura". **Vale copiar:** uma central de confiança que explica cada certificado em linguagem simples, e uma posição de analista descrita como ela é. ### ISH Tecnologia: falar a língua do comprador público A [ISH](https://ish.com.br/) abre com "Cibersegurança para quem não pode parar" e escreve para órgãos e instituições públicas. A seção de desafios usa as palavras desse comprador: o "ciclo orçamentário público", ferramentas compradas "via licitação", a contratação de talentos dentro das "regras do serviço público" e a legislação. O site diz que a empresa é reconhecida pelo Ministério da Defesa como Empresa Estratégica de Defesa e cita "+ 1 milhão de ativos protegidos". A política de privacidade marca com "\[INSERÇÃO 2026\]" os trechos acrescentados e explica que faz isso por transparência, além de publicar o contato do encarregado. Na página inicial, porém, aparece o texto "Oops... No slides found, please add some slides". **Vale copiar:** descrever os problemas do comprador com as palavras que ele usa no dia a dia, como licitação e ciclo orçamentário. ### Apura: um produto amarrado a uma norma do Banco Central A [Apura](https://apura.io/pt), de inteligência de ameaças na deep e dark web, abre com "Inteligência que antecipa ameaças digitais e fortalece decisões". Um dos produtos é apresentado a partir de uma norma: "As novas resoluções do Banco Central do Brasil Nº 538 e CMN N° 5.274/2025 mudaram o jogo para o setor financeiro", diz o site, que oferece o BTTFinGuard com "Certificado de conformidade". Resposta a incidentes 24/7 aparece como serviço. Conferimos a primeira no site do Banco Central: a [Resolução BCB nº 538](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=538), de 18 de dezembro de 2025, altera a Resolução BCB nº 85, que "dispõe sobre a política de segurança cibernética" de instituições de pagamento, corretoras e distribuidoras. **Vale copiar:** ligar a oferta à norma que o comprador precisa cumprir, com o número da norma, para ele conferir. ### Hacker Rangers: fonte entre parênteses e preço em reais A [Hacker Rangers](https://hackerrangers.com/pt/), de conscientização em segurança com gamificação, abre com "Transforme a conscientização em cibersegurança em comportamentos mais seguros". Cada estatística vem com fonte e ano entre parênteses: Gallup 2025, Harvard Business Review 2019, ETH Zurich 2023, TalentMLS 2022. Duas frases ficam sem fonte: "Até o Google abandonou as simulações de phishing" e "a única solução 100% gamificada do mundo". A [página de preços](https://hackerrangers.com/pt/pricing/) mostra valores em reais: Free Edition a R$ 0 e Enterprise a R$ 14,75 por usuário por mês, com um simulador por número de licenças e anos de contrato. A mensagem de confirmação do formulário ficou em inglês. **Vale copiar:** fonte e ano entre parênteses depois de cada número, e o preço na moeda do comprador. ### Clavis: uma oferta ligada ao calendário A [Clavis](https://clavis.com.br/) usava a página inicial de novembro para uma oferta da época: "Faça um diagnóstico rápido e gratuito sobre fraudes digitais e se prepare para a Black Friday". O menu de serviços inclui resposta a incidentes e computação forense, e o de conteúdos tem livros próprios, o portal Seginfo e uma academia; os posts mais recentes eram de 29 de outubro de 2026. A política de privacidade nomeia o encarregado de dados e indica o canal de contato. **Vale copiar:** uma oferta grátis ligada à data que preocupa o comprador agora. ### Blockbit: números legíveis e o DPO no rodapé A [Blockbit](https://www.blockbit.com/pt/), fabricante brasileira de firewall, SD-WAN e XDR, apresenta "Novos Appliances BBX Desenvolvidos para o mercado brasileiro". A seção "Blockbit em números" traz os números no próprio HTML, como "Mais de 9.200.000 de ameaças únicas protegidas" e "Mais de 97.000 regras de prevenção de intrusão". O rodapé tem telefone, endereço em São Paulo e o e-mail do DPO. Foi a única das sete páginas iniciais brasileiras que lemos com o contato do encarregado à vista; as outras o colocam na política de privacidade, quando colocam. **Vale copiar:** números que existem sem JavaScript e o contato do encarregado onde qualquer pessoa encontra. ## Padrões nos 12 dos EUA | Padrão | Sites | Quais | | ---------------------------------------------------------------------- | ----- | ------------------------------------------------------------------- | | Caminho de emergência com link na página inicial | 5 | Wiz, Cloudflare, Arctic Wolf, Rapid7, HackerOne | | Esse caminho no cabeçalho ou na barra superior | 4 | Wiz, Cloudflare, Arctic Wolf, HackerOne | | Preços públicos com números | 6 | Okta, 1Password, Cloudflare, Tailscale, Huntress, Chainguard | | Plano grátis ou teste grátis | 6 | Os mesmos seis | | Relatórios de analistas citados na página inicial | 8 | Wiz, Okta, 1Password, Vanta, Arctic Wolf, Rapid7, Chainguard, Expel | | Clientes com nome ou cases de clientes | 12 | Todos | | Central de confiança ou página de segurança com link na página inicial | 12 | Todos | | security.txt em /.well-known/ | 9 | Todos menos Huntress, Chainguard e HackerOne | | security.txt com Contact e Expires | 5 | Wiz, Okta, Tailscale, Vanta, Expel | | Na lista de signatários do compromisso da CISA | 9 | Todos menos 1Password, Tailscale e Expel | | Versão em português da página inicial | 4 | Wiz, Okta, Cloudflare, 1Password | O que a tabela sugere: 1. **Emergência vai no cabeçalho.** Uma empresa sob ataque não rola a página, e os 4 links do cabeçalho usam as palavras do comprador ("Under attack?", "Experienced a Breach?"). 2. **Preço público anda com compra self-service.** Os outros explicam o modelo (Wiz) ou listam pacotes (Vanta, Expel) para o comprador saber o que perguntar. 3. **Prova sobra; método é raro.** Os 12 mostram clientes, mas poucos colocam fonte ou método ao lado dos números; Okta, Arctic Wolf e Expel colocam. 4. **O básico fica para trás.** Só 5 dos 12 arquivos security.txt cumprem os dois campos obrigatórios da RFC 9116, em empresas que vendem segurança. Nos 7 brasileiros, não encontramos nenhum. ## O que é específico de quem compra segurança Quem compra segurança lê um site como avalia um produto: procura evidência e percebe o que falta. ### Centrais de confiança que respondem a quem avalia Os 12 dos EUA têm link para uma central de confiança ou página de segurança, então ter uma não diferencia; o detalhe, sim. A Wiz data cada certificação, a Okta explica o número de disponibilidade, a Expel nomeia os documentos e a central da HackerOne mostra a data da última atualização. As centrais da Vanta e da Chainguard só carregam com JavaScript e a da Huntress nos bloqueou: o navegador do comprador mostra, mas um robô de busca ou um assistente de IA pode ver uma página vazia. ### security.txt: 9 de 12 têm, 5 cumprem o básico A [RFC 9116](https://www.rfc-editor.org/rfc/rfc9116.html) define um arquivo de texto que diz aos pesquisadores como reportar uma vulnerabilidade. Ele deve ficar no caminho "/.well-known/" e ter dois campos: Contact, que "MUST always be present", e Expires, também obrigatório e que a RFC recomenda manter a menos de um ano. Em 7 de novembro de 2026, 9 dos 12 serviam o arquivo em /.well-known/. A HackerOne serve um só no caminho antigo, na raiz do domínio, e Chainguard e Huntress não tinham nenhum. Dos 9, 1Password, Cloudflare e Arctic Wolf não têm o campo Expires, e a Rapid7 renomeia os dois campos obrigatórios ("Contact Security Team:"), então um leitor padrão não encontra nenhum. Os da Wiz e da Expel vencem em 2028 e 2030, além do ano recomendado. A maioria tem link para uma política de divulgação, que diz aos pesquisadores o que eles podem testar; a da Wiz os manda para o programa Bug Hunters do Google. ### O compromisso Secure by Design da CISA O [compromisso da CISA](https://www.cisa.gov/securebydesign/pledge), a agência de cibersegurança dos EUA, é "voluntary and not legally binding", e a CISA diz que não verifica o cumprimento. Uma das sete metas é publicar uma política de divulgação que autorize testes pelo público e prometa não processar pesquisadores de boa-fé. Nove dos nossos 12 estão na [lista de signatários da CISA](https://www.cisa.gov/securebydesign/pledge/secure-design-pledge-signers): Wiz, Okta, Cloudflare, Vanta, Huntress, Arctic Wolf, Rapid7, Chainguard e HackerOne. Nenhuma das 12 páginas iniciais menciona o compromisso, e das páginas de confiança que lemos, só a da Rapid7 tem link para o relatório. Se você assinou, coloque o link: é uma evidência que quem avalia consegue conferir. ### O contato do encarregado (LGPD) Para quem vende no Brasil, há uma regra que mexe no site. O art. 41, § 1º, da [LGPD](https://www2.camara.leg.br/legin/fed/lei/2018/lei-13709-14-agosto-2018-787077-normaatualizada-pl.html) diz: "A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador." Dos 7 sites brasileiros que lemos (os seis acima e a Tempest), 5 publicam esse contato: a Blockbit no rodapé da página inicial, e Tempest, ISH, Apura e Clavis na política de privacidade. Numa empresa que vende proteção de dados, deixar esse contato fácil de achar é parte da prova. Isto é informação geral, não aconselhamento jurídico. ### Afirmações a evitar O [guia de publicidade da FTC](https://www.ftc.gov/business-guidance/resources/advertising-faqs-guide-small-business), a autoridade de defesa do consumidor dos EUA, diz que anunciantes "must have evidence to back up their claims" e precisam ter pelo menos o nível de evidência que dizem ter. Para quem vende a compradores dos EUA, num site de segurança isso significa: - **Nada de promessa absoluta.** A garantia da Arctic Wolf e a central da HackerOne partem de que nada é 100% seguro. - **Superlativo com fonte.** "Líder de mercado" e "maior empresa" precisam dizer segundo quem. - **Um número por fato.** A página inicial da Cloudflare diz 335+ cidades numa seção e 330+ em outra. - **Números que existam no HTML.** Os contadores animados da Wiz, da página de incidentes da Rapid7 e da seção "Somos a maior empresa especializada em cibersegurança do Brasil" da Tempest aparecem como "0" no código, que é o que um robô de busca ou um assistente de IA pode citar. Isto é informação geral, não aconselhamento jurídico. ## Checklist para o site da sua empresa de cibersegurança | Item | Como testar | | ---------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------ | | O visitante entende o que você faz e para quem em uma tela | Mostre a página inicial por cinco segundos a alguém de fora da área de segurança e peça que explique | | Quem está sob ataque acha ajuda em um clique | Procure um link "Está sob ataque?" no cabeçalho e confira se ele leva a um telefone ou a um formulário curto | | O preço é público, ou o modelo de preço é explicado | Se o comprador não vê um número, ele vê no que o preço se baseia? | | Cada número tem fonte e data | Confira cada porcentagem da página inicial: tem nota ou relatório com nome? | | Os números existem sem JavaScript | Abra o código-fonte da página e procure os seus números principais | | A página de confiança nomeia os documentos e como pedir | Pergunte a quem avalia fornecedores num cliente o que ele pede primeiro | | O security.txt existe e é válido | Abra /.well-known/security.txt: tem campo Contact e uma data Expires a menos de um ano? | | A política de divulgação está publicada | Confira se o campo Policy do security.txt abre uma página que diz o que pode ser testado | | O contato do encarregado está publicado | Procure o nome e o e-mail do encarregado no rodapé ou na política de privacidade | | A versão em português está completa | Percorra a versão traduzida procurando textos em inglês, blocos vazios e mensagens de erro | | Há um caminho para quem ainda não quer conversar | Um plano grátis, uma autoavaliação, um tour guiado ou uma demo em grupo | ## O que fazer agora Aplique o checklist na sua página inicial, na sua página de confiança e no seu security.txt, e anote onde você fica atrás dos sites acima. Se você vende para grandes empresas com avaliações de segurança longas, o nosso serviço de [criação de sites B2B](https://dardo.studio/pt/servicos/site-b2b/) planeja as páginas de confiança junto com as de vendas. Se você vende um produto com plano grátis ou compra online, veja [site para SaaS](https://dardo.studio/pt/servicos/site-para-saas/); e os nossos [exemplos de sites B2B](https://dardo.studio/pt/blog/exemplos-de-sites-b2b/) mostram os mesmos padrões fora da segurança. Se as lacunas somarem mais do que alguns ajustes, um [redesign de site](https://dardo.studio/pt/servicos/redesign-de-site/) refaz a estrutura, o texto e as provas ao mesmo tempo. Para ver o que robôs de busca e assistentes de IA conseguem ler no seu site atual, teste o nosso [verificador de visibilidade em IA](https://dardo.studio/pt/ferramentas/verificador-visibilidade-ia/), grátis. ## Perguntas frequentes **O que o site de uma empresa de cibersegurança precisa ter?** Nos 18 sites que lemos em 7 de novembro de 2026, os melhores faziam cinco coisas: diziam em palavras simples o que o produto faz e para quem, davam um caminho visível para quem está sob ataque, datavam e citavam a fonte dos números, publicavam uma página de segurança pensada para quem avalia fornecedores e mostravam preços ou o modelo de preço quando a compra dispensa vendas. **Uma empresa de cibersegurança deve publicar preços?** Se alguém pode se cadastrar ou comprar sem uma ligação, sim. Seis dos 12 sites dos EUA publicam números e os seis oferecem plano grátis ou teste grátis. No Brasil, a Hacker Rangers publica preços em reais, de R$ 0 a R$ 14,75 por usuário por mês, enquanto a Segura chama sua página de "Preço simples e transparente" e não mostra valores. **O que é security.txt e o meu site precisa de um?** É um arquivo de texto definido pela RFC 9116 que diz aos pesquisadores como reportar uma vulnerabilidade. Ele deve ficar em /.well-known/security.txt e ter os campos Contact e Expires. 9 dos 12 sites dos EUA têm um, mas 4 desses 9 falham em um campo obrigatório, e nenhum dos 7 sites brasileiros que lemos serviu o arquivo. **O que uma central de confiança (trust center) deve incluir?** As certificações com data, como pedir os relatórios, a política de divulgação de vulnerabilidades, o status do serviço e os avisos de segurança. Os melhores explicam também o método: a Okta mostra como calcula sua disponibilidade de 99,99%, a Wiz data cada certificação e a central da Segura explica em português o que é cada certificado e para que serve. **O site de uma empresa de segurança precisa mostrar o contato do encarregado (DPO)?** O art. 41 da LGPD diz que a identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara e objetiva, preferencialmente no site do controlador. Dos 7 sites brasileiros que lemos, 5 publicam esse contato, a maioria na política de privacidade. Isto é informação geral, não aconselhamento jurídico. **Essas empresas de segurança têm site em português?** Poucas. Em 7 de novembro de 2026, Wiz, Okta, Cloudflare e 1Password tinham versão em português, e as de Wiz e Cloudflare traduzem também o link de emergência ("Sob ataque?" e "Está sob ataque?"). Nas páginas iniciais das outras oito não encontramos versão em português. ## Fontes e leituras adicionais Fontes desta página, com mais detalhes dos publicadores originais. - [Wiz: Página inicial](https://www.wiz.io/) · wiz.io - [Wiz: Página inicial para o Brasil](https://www.wiz.io/pt-br) · wiz.io - [Okta: Página inicial](https://www.okta.com/) · okta.com - [Okta: Página inicial para o Brasil](https://www.okta.com/pt-br/) · okta.com - [Okta: Trust](https://trust.okta.com/) · trust.okta.com - [1Password: Página inicial](https://1password.com/) · 1password.com - [Cloudflare: Página inicial](https://www.cloudflare.com/) · cloudflare.com - [Cloudflare: Página inicial para o Brasil](https://www.cloudflare.com/pt-br/) · cloudflare.com - [Tailscale: Página inicial](https://tailscale.com/) · tailscale.com - [Vanta: Página inicial](https://www.vanta.com/) · vanta.com - [Huntress: Preços](https://www.huntress.com/pricing) · huntress.com - [Arctic Wolf: Garantia de operações de segurança](https://arcticwolf.com/why-arctic-wolf/security-operations-warranty/) · arcticwolf.com - [Rapid7: Página inicial](https://www.rapid7.com/) · rapid7.com - [Chainguard: Preços](https://www.chainguard.dev/pricing) · chainguard.dev - [Expel: Segurança e compliance](https://expel.com/security-compliance/) · expel.com - [HackerOne: Contacted by a hacker?](https://www.hackerone.com/contact/security-incident) · hackerone.com - [Segura: Página inicial](https://segura.security/pt-br/) · segura.security - [Segura: Trust Center](https://segura.security/pt-br/empresa/trust-center/) · segura.security - [ISH Tecnologia: Página inicial](https://ish.com.br/) · ish.com.br - [Apura: Página inicial](https://apura.io/pt) · apura.io - [Hacker Rangers: Preços](https://hackerrangers.com/pt/pricing/) · hackerrangers.com - [Clavis: Página inicial](https://clavis.com.br/) · clavis.com.br - [Blockbit: Página inicial](https://www.blockbit.com/pt/) · blockbit.com - [Câmara dos Deputados: Lei nº 13.709/2018 (LGPD), texto atualizado](https://www2.camara.leg.br/legin/fed/lei/2018/lei-13709-14-agosto-2018-787077-normaatualizada-pl.html) · www2.camara.leg.br - [Banco Central do Brasil: Resolução BCB nº 538](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=538) · bcb.gov.br - [RFC Editor: RFC 9116](https://www.rfc-editor.org/rfc/rfc9116.html) · rfc-editor.org - [CISA: Secure by Design Pledge](https://www.cisa.gov/securebydesign/pledge) · cisa.gov - [CISA: Signatários do Secure by Design Pledge](https://www.cisa.gov/securebydesign/pledge/secure-design-pledge-signers) · cisa.gov - [FTC: Advertising FAQs, guia para pequenas empresas](https://www.ftc.gov/business-guidance/resources/advertising-faqs-guide-small-business) · ftc.gov [Nicolás Cerón](https://dardo.studio/pt/nicolas-ceron/) Nicolás Cerón é o fundador da Dardo, um estúdio de marca, design e desenvolvimento web em Bogotá, na Colômbia. ## Artigos relacionados - [**Melhores sites SaaS B2B: 15 exemplos e o que cada um faz bem**Analisamos 15 sites SaaS B2B em 7 de novembro de 2026, do Linear ao HubSpot, e 5 brasileiros: o que mostram, onde colocam a prova e quais páginas linkam.](https://dardo.studio/pt/blog/melhores-sites-saas-b2b/) - [**Exemplos de sites B2B: 12 sites reais de setores diferentes e os padrões que valem a pena copiar**12 sites B2B lidos em 17 de outubro de 2026, da Stripe à GE Vernova: como dizem para quem são, onde colocam provas e preços, e o que copiar.](https://dardo.studio/pt/blog/exemplos-de-sites-b2b/) - [**Exemplos de páginas de preços SaaS: 20 páginas B2B comparadas e o que cada uma faz bem**Lemos 20 páginas de preços SaaS B2B e 6 brasileiras em 7 de novembro de 2026: planos, cobrança anual, IA, faixas de faturamento e o que copiar.](https://dardo.studio/pt/blog/exemplos-paginas-de-precos-saas/) - [**Sites de fintech: 12 exemplos dos EUA e 5 do Brasil, e o que copiar de cada um**17 sites de fintech lidos em 7 de novembro de 2026, de Mercury e Plaid a Nubank e Cora: como cada um ganha confiança quando há dinheiro em jogo.](https://dardo.studio/pt/blog/sites-de-fintech/) ## Continue explorando. - [Serviço · **Criação de sites B2B para ciclos de venda longos**](https://dardo.studio/pt/servicos/site-b2b/) - [Seu projeto · **Vamos conversar**](https://dardo.studio/pt/contato/)