$ auditoria --modo=defensivo --alvo=seu-sistema
Seu sistema foi construído com IA.
Alguém já verificou se ele é seguro?
Ferramentas como ChatGPT, Claude, Lovable e Cursor deixaram qualquer pessoa capaz de criar um sistema em dias. O problema é que elas não avisam quando esse sistema fica exposto. Nós encontramos essas brechas antes que alguém mal-intencionado encontre.
O que está em jogo
Um vazamento de dados não é só um problema técnico. É um problema jurídico.
Se o seu sistema guarda CPF, e-mail, telefone ou qualquer outro dado de cliente, ele está sob a LGPD (Lei Geral de Proteção de Dados). E a lei não pergunta se você sabia programar quando construiu o sistema.
[MULTA] Até 2% do faturamento da empresa no Brasil, limitada a R$ 50.000.000,00 por infração (art. 52, ANPD) [OBRIGACAO] Notificar a ANPD e CADA titular afetado pelo vazamento em prazo razoável — a exposição pública vira parte da pena [EXPOSICAO] Cliente lesado pode processar por dano moral e material, individualmente ou em ação coletiva (art. 42) [SANCAO] ANPD pode determinar bloqueio ou eliminação dos dados, e suspensão do banco de dados até regularização
A causa técnica
A IA gera código funcional. Não código seguro.
Nos últimos anos, milhares de founders, pequenas empresas e times sem CTO passaram a construir seus próprios sistemas usando inteligência artificial. Isso é ótimo: baixou o custo de lançar um produto de meses para dias.
Só que tem um efeito colateral que quase ninguém enxerga: a IA entrega o que você pediu, não o que você deveria ter pedido. E nada disso aparece testando o sistema como cliente comum. Só aparece quando alguém olha por dentro, ou quando já é tarde.
Chaves de acesso privadas expostas no código que roda no navegador de qualquer visitante
Banco de dados sem restrição real, onde um usuário consegue ler os dados de outro
Rotas internas (admin, pagamento, cron) sem checagem nenhuma de quem está chamando
Senhas de teste esquecidas em produção, meses depois do lançamento
O que fazemos
Entramos, revisamos, corrigimos. Sempre com autorização.
Auditoria de segurança defensiva: revisamos o código e a configuração do seu sistema, entregamos um relatório com cada risco e sua gravidade, e corrigimos quando você autoriza. Não simulamos ataque contra sistema de terceiros sem contrato. Nosso trabalho é fechar a porta, não arrombar a de ninguém.
| Categoria | Exemplos do que verificamos |
|---|---|
| Segredos e credenciais | Chaves expostas no frontend, senha padrão esquecida, .env versionado no git |
| Autenticação e autorização | Banco sem restrição por usuário (RLS), rota admin sem checagem real, login que falha aberto |
| Webhooks e pagamento | Notificação aceita sem confirmar na fonte, chamada duplicada gerando cobrança dupla |
| Abuso de envio | Formulário sem limite que permite spam ou esgota sua cota de e-mail |
| Dados e infraestrutura | Dado sensível sem criptografia, link de arquivo privado que nunca expira |
| Domínio e e-mail | DNS preso num provedor sem contrato, e-mail sem proteção contra falsificação |
Prova, não promessa
Encontramos e corrigimos uma falha real em um sistema que processa pagamento hoje.
[ACHADO] Rota autenticada sem limite de repetição Um usuário comum, com sua própria conta paga, conseguia chamar a rota indefinidamente e esgotar toda a cota mensal de envio de e-mail — derrubando o aviso de pagamento para TODOS os outros clientes ao mesmo tempo. [CAUSA] Não era um ataque sofisticado. Era uma trava que faltou, do tipo que a IA não avisa que precisa existir. [CORRIGIDO] em uma tarde Verificação atômica no banco de dados + 3 chamadas de teste controladas. Zero impacto no cliente, zero tempo fora do ar.
Como funciona
Quatro passos, sem enrolação.
Conversa inicial
15 minutos, sem custo. Você conta como o sistema foi construído e o que ele processa.
Auditoria
Revisamos código, banco, rotas de API e infraestrutura. Prazo típico de 3 a 7 dias.
Relatório
Cada achado classificado por gravidade, explicado em linguagem simples, com o passo a passo da correção.
Correção
Se quiser, corrigimos direto. Sem enrolação, sem downtime desnecessário.
Para quem é
- Founders que construíram (ou pagaram para construir) um sistema usando IA e nunca tiveram uma segunda opinião técnica
- Empresas que processam pagamento ou dado de cliente e não sabem dizer com certeza se estão protegidas
- Times técnicos pequenos que querem uma auditoria externa antes de escalar
Perguntas frequentes
Vocês garantem que meu sistema fica 100% seguro?
Ninguém garante isso, e desconfie de quem promete. O que garantimos é encontrar e corrigir os riscos conhecidos e mais comuns, documentados e testados, com um relatório que você pode guardar como prova de diligência.
Preciso saber programar para entender o relatório?
Não. Cada achado é explicado em linguagem simples: o que é, por que importa, o que fazer.
Vocês auditam sistema feito com qualquer ferramenta de IA?
Sim. Lovable, Cursor, Replit, v0, Claude Code, ChatGPT direto no editor, ou uma mistura de tudo isso. O que importa é o resultado final, não a ferramenta usada.
Quanto custa?
Depende do tamanho e da complexidade do sistema. Por isso a conversa inicial é sem custo, pra gente entender o escopo antes de falar de valor.