Publique com segurança comprovada
Auditamos sites, aplicações, bancos de dados e plataformas corporativas.
Cada falha chega com prova, correção na causa e teste que impede o retorno.
→ Ajudamos empresas e times de produto a encontrar falhas antes de quem ataca, corrigir cada uma na causa, comprovar o resultado com teste e manter o nível a cada nova entrega. Sem relatório genérico e sem promessa vazia.
Escolha por onde começar
Preço de referência para aplicações de porte pequeno e médio. A proposta final considera telas, endpoints e ambientes.
Para apps feitos em Lovable, Bolt, Cursor e v0, com Supabase ou Firebase. As falhas críticas com prova e o caminho da correção.
Ver detalhes da oferta →- Políticas de linha em todas as tabelas
- Chaves de administração e de APIs pagas no navegador
- Rotas protegidas só na tela
- Build publicado, cabeçalhos e limite de tentativas
- Entrega em até 5 dias úteis
As 17 fases do método, com correção acompanhada e verificação independente de cada falha.
Ver detalhes da oferta →- Código, dependências e segredos
- Testes em staging com cada perfil de usuário
- Testes de regressão no seu repositório
- Relatório executivo e técnico
- Entrega em até 8 dias úteis
Para times que publicam toda semana e precisam manter o nível depois da auditoria.
Ver detalhes da oferta →- Verificações a cada pull request
- Varredura completa mensal
- Reteste a cada release
- Canal direto com especialista
Plataformas, bancos de dados, nuvem e vários sistemas, com escopo e cronograma definidos em conjunto.
- Modelagem de ameaças por fluxo crítico
- Bancos de dados e postura de nuvem
- Gerente de conta dedicado
- Acordos de nível de serviço
Do primeiro site à plataforma corporativa
O mesmo método em todo tamanho de projeto. Muda o escopo, não o rigor.
Avaliar meu sistemaContent-Security-PolicyBaixaStrict-Transport-SecurityOKassets/*.mapMédia→ Sites e aplicações web. Injeção, build publicado, cabeçalhos, sessão e reset de senha.
Ver detalhespacientesSem RLSpagamentosSem RLSperfisRLS ativa→ Apps feitos em Lovable, Bolt, Cursor e v0. Tabelas abertas, chaves no navegador e permissões só na tela.
Ver detalhesacesso público à portaCríticaapp_user · SUPERUSERAltabackup criptografadoOK→ Bancos de dados. Exposição, papéis e privilégios, criptografia, backups e trilha de auditoria.
Ver detalhesGET /pedidos/1042200GET /pedidos/1043IDORPOST /cupom ×50Sem limite→ APIs e integrações. Acesso a dados de outro cliente, regras de valor no servidor e webhooks.
Ver detalhesrecepção → prontuárioAltamédico → exportarNegadoadmin → MFAAusente→ Plataformas corporativas. Modelagem de ameaças, matriz de papéis e relatório para a diretoria.
Ver detalhesactions/checkout@v4Fixar hashpull_request_targetAltapermissions: readOK→ Pipeline e nuvem. GitHub Actions, containers, Terraform e inventário de componentes.
Ver detalhesSeis etapas. Nenhuma fecha sem evidência.
Cada etapa tem critério de saída escrito. A auditoria completa percorre 17 fases técnicas e revisa à mão cada ponto sensível.
Evidência em cada achado
Nada é aprovado sem saída de ferramenta, requisição ou trecho de código. Descartes são justificados por escrito.
Quem corrige não verifica
Um revisor que não participou da correção confirma cada item antes de fechar.
Nada destrutivo, nada fora do escopo
Testes ativos só em staging, com dados fictícios. Segredos encontrados são mascarados e revogados.
Tabela de pacientes legível sem login pela chave pública do banco
- 01
Escopo e autorização
Termo assinado com sistemas, ambientes e limites.
- 02
Inventário
Rotas, endpoints, dados sensíveis e o que o build revela.
- 03
Análise do código
Segredos, dependências, análise estática e revisão manual.
- 04
Testes em staging
Acesso, autenticação, configuração, dados e API.
- 05
Correção pelo seu time
Na causa, guiada pela ficha e por um teste que falhava antes e passa depois.
- 06
Verificação e relatório
Revisor independente reproduz, confirma e assina.
OWASP completo, e muito além dele
16 técnicas de análise e mais de 19 ferramentas de mercado. Cada categoria do OWASP é testada por pelo menos duas técnicas diferentes.
Modelagem de ameaças
STRIDE em cada fluxo crítico, com casos de abuso priorizados.
Análise estática
Três motores complementares mais regras próprias para React, Vite e Supabase.
Fluxo de dados
Cada entrada rastreada até tela, banco, URL ou log, entre arquivos.
Revisão manual
Pontos em que o framework deixa de proteger, revisados um a um.
Varredura de segredos
Histórico do git, diretório e build, com checagem de chave ativa.
Dependências
Vulnerabilidades conhecidas, confirmando se a função afetada é usada.
Cadeia de suprimentos
Lockfile, origem dos pacotes, scripts de instalação e inventário.
Build publicado
O pacote do navegador visto como um atacante: chaves, rotas e source maps.
Controle de acesso
Matriz de papéis, recursos e ações com usuários de cada perfil.
Testes dinâmicos
Varredura autenticada da aplicação em execução, em staging.
Contrato de API
Milhares de requisições geradas a partir da especificação.
Configuração e criptografia
Cabeçalhos, CSP, CORS, TLS e dados sensíveis pela LGPD.
CI/CD
Permissões mínimas, ações fixadas e segredos fora dos logs.
Containers e IaC
Imagens, usuário não administrador, Terraform e Kubernetes.
Erros e alertas
Falhas sem detalhe interno, acesso negado por padrão e alerta disparando.
Modelos de linguagem
Injeção de instruções, vazamento entre clientes e limite de custo.
Quatro jeitos de trabalhar com a Salak
Do time que publicou ontem ao órgão que precisa de documentação para contratação.
Startups e times de produto
Publicou em Lovable, Bolt ou Cursor e precisa saber o que está exposto antes dos clientes.
Começar pelo Express →Empresas com sistemas em produção
Auditoria completa com correção acompanhada e relatório para a diretoria.
Solicitar proposta →Agências e software houses
Audite os projetos que você entrega e ofereça a auditoria como serviço aos seus clientes.
Ser parceiro →Setor público e infraestrutura crítica
Sistemas de atendimento e bases cadastrais, com entregáveis adequados a processos públicos.
Falar com especialista →Um relatório que a diretoria lê e o time executa
- 01Resumo executivoEstado geral, riscos principais, o que foi corrigido e o que falta.
- 02Ficha por achadoSeveridade, OWASP, CWE, local exato, caminho do dado e reprodução.
- 03Testes de regressãoUm teste automatizado por falha corrigida, no seu repositório.
- 04Inventário de componentesSBOM no formato CycloneDX.
- 05Verificação contínuaWorkflow pronto para repetir as verificações a cada PR.
23 falhas encontradas, 2 críticas corrigidas e verificadas antes do deploy. Restam 4 itens de baixa severidade no backlog. Nenhum segredo ativo no histórico.
Vocês testam em produção?+
Não. Testes ativos acontecem apenas em staging ou ambiente local. Em produção fazemos somente leitura passiva, como cabeçalhos, TLS e o pacote público, e só com autorização registrada no termo de escopo.
Preciso dar acesso ao código-fonte?+
Para a Auditoria Completa, sim, com acesso de leitura ao repositório. O Diagnóstico Express pode ser feito com a URL e um usuário de teste, com cobertura menor.
Quanto tempo leva?+
O Diagnóstico Express é entregue em até 5 dias úteis. A Auditoria Completa de uma aplicação média é entregue em até 8 dias úteis.
E se vocês encontrarem uma chave exposta?+
Avisamos o responsável no mesmo dia. A chave aparece mascarada no relatório e é tratada como crítica. Apagar do código não basta: orientamos a revogação e a troca da credencial.
Vocês corrigem as falhas?+
Não executamos a correção. Para cada falha entregamos a correção recomendada e o teste de regressão, para o seu time aplicar. Se você precisar de apoio na implementação, avaliamos e orçamos à parte. Fale com o time de negócios.
Funciona para aplicações feitas no Lovable ou no Cursor?+
Sim. É onde encontramos com mais frequência banco de dados aberto, chaves no navegador e permissões verificadas só na tela. O Diagnóstico Express foi desenhado para esse caso.
Fale com um especialista em segurança
Agende uma conversa com o time. Sem formulário e sem espera: você escolhe o horário e chega com as suas dúvidas.
- Escopo e preço antes de qualquer compromisso
- Acordo de confidencialidade desde a primeira conversa
- Atendimento em todo o Brasil
- 01Escolha um horário
Direto na agenda do time de negócios, no dia que for melhor para você.
- 02Conte o que precisa avaliar
Sistema, tecnologias, ambientes e o que mais preocupa hoje.
- 03Receba a proposta
Escopo, prazo e preço em até um dia útil depois da conversa.
Abre a agenda em uma nova aba.