A.1 — A regra que vem antes de tudo: autorização

Pentest é atacar um sistema com permissão escrita para achar falhas antes que um criminoso ache. Sem autorização e escopo, as mesmas ações são crime (Lei 12.737/2012 + LGPD). Todo trabalho começa pelo ROE (regras de engajamento) — o mesmo documento do Nível 0 da trilha: o que pode, o que não pode, quando, e os limites (volume, dados de teste, nada destrutivo em produção).