Teste de vulnerabilidade
Teste de vulnerabilidade grátis para o seu site ou app
Um teste de vulnerabilidade procura, de fora, o que o seu site ou app deixa ao alcance de qualquer pessoa: chaves de API no código, banco de dados que responde sem login, arquivos de configuração públicos. A forma mais rápida de começar é uma análise passiva — ela lê o que qualquer visitante já recebe, sem invadir nada.
O que é um teste de vulnerabilidade
É qualquer verificação que procura pontos por onde alguém poderia ler, alterar ou usar o que não deveria no seu sistema. Na prática, a expressão cobre três coisas bem diferentes — e vale saber qual delas você está pedindo.
| Tipo | O que faz | Quando faz sentido |
|---|---|---|
| Análise passiva (externa) | Lê o que o site entrega a qualquer visitante — código, cabeçalhos, arquivos públicos — e pergunta aos serviços que o próprio site chama se eles respondem sem login. Não explora nada. | Antes de lançar, depois de cada mudança grande e como primeira olhada. Leva segundos. |
| Teste de invasão (pentest) | Um especialista tenta explorar falhas de verdade, com autorização formal e escopo combinado. | Quando o app guarda dado sensível em volume ou um contrato exige. Leva semanas e custa caro. |
| Revisão de código | Alguém — ou uma ferramenta — lê o código-fonte procurando erros. | Durante o desenvolvimento. Exige acesso ao repositório. |
O Warden faz o primeiro tipo: uma análise passiva. Ela não substitui um teste de invasão — mas encontra, em segundos, o tipo de exposição que mais aparece em apps novos, e que qualquer curioso encontraria do mesmo jeito que nós.
O que a análise verifica
- Chaves e credenciais no JavaScript — os arquivos que a sua página manda o navegador baixar, onde às vezes vai parar uma chave que deveria ficar no servidor.
- Banco de dados e backend — se o Supabase, o Firebase ou a API que o seu site chama respondem a quem não fez login. Sem ler o conteúdo de nenhum registro.
- Arquivos que não deveriam ser públicos —
.env, a pasta.gite chaves de conta de serviço, no seu domínio. - Cabeçalhos de segurança e CORS — o que o seu servidor responde, e quem ele autoriza a ler as respostas.
- Certificado e TLS — validade, cadeia e configuração.
- E-mail do domínio — SPF, DKIM e DMARC: o que impede alguém de mandar e-mail em nome da sua empresa.
- Subdomínios e tecnologias — pelos registros públicos de certificados, cruzando o que o site declara com falhas conhecidas.
A lista completa, requisição por requisição, está na metodologia.
O que ela não faz
- Não tenta senha nem usa credencial encontrada.
- Não explora falha, não injeta nada e não varre portas.
- Não altera nem apaga nada, em nenhum sistema.
- Não faz força bruta de nomes de arquivo ou de subdomínio.
Sem achados não é atestado
Uma análise que não encontra nada mostra o que estava visível de fora no dia e na hora em que rodou. Um deploy feito depois pode mudar tudo — por isso vale repetir depois de cada mudança grande.
Como funciona
- Você cola o endereço do seu site ou app e confirma que é responsável por ele.
- A análise costuma levar menos de 20 segundos.
- Você vê, grátis, quantas exposições existem e de que gravidade.
- Se quiser, o relatório completo mostra o lugar exato de cada uma, o que ela permite e o prompt pronto para a sua IA corrigir — por R$ 497,00, pagamento único. O PDF também chega por e-mail.
Para quem faz mais sentido
Para quem publicou um app feito com IA — Lovable, Bolt, v0, Cursor, Replit — e nunca olhou para ele do lado de fora. É o perfil em que as exposições mais aparecem, porque a ferramenta entrega um app que funciona, e funcionar não depende de o banco estar fechado. Mas a análise serve para qualquer site público: loja, landing page, sistema com login.
Se o seu app usa uma dessas plataformas, estes guias vão direto ao ponto:
- O Lovable é seguro? O que fica exposto nos apps feitos com ele
- Supabase RLS: como saber se o seu banco está aberto
- Chave de API exposta no site: como descobrir e o que fazer
- Vibe coding e segurança: o que conferir antes de publicar
Perguntas frequentes
O teste é grátis?
A análise e a prévia — quantas exposições e de que gravidade — são grátis. O relatório completo, com o lugar exato de cada exposição e como corrigir, custa R$ 497,00, uma vez só, sem assinatura.
Pode derrubar ou atrapalhar o meu site?
Não. O tráfego é o de um visitante abrindo a página e os arquivos que ela carrega, mais um conjunto pequeno e fixo de endereços. Nada é gravado, alterado ou apagado.
Preciso instalar algo ou dar acesso ao código?
Não. Basta o endereço público. A análise vê o que qualquer pessoa na internet vê.
Posso analisar o site de outra pessoa?
Só se você for responsável por ele ou tiver autorização de quem é. Os termos de uso pedem essa declaração antes de cada análise.
A análise substitui um teste de invasão?
Não. Ela encontra o que está exposto para quem olha de fora — que é o que um curioso ou um robô encontraria primeiro. Um teste de invasão vai além e tenta explorar; para apps com muito dado sensível, os dois se complementam.