Autenticação e sessão
Login, tokens, expiração, recuperação de senha e controle de sessão.
Revisão de código de segurança para SaaS feito com IA
Seu SaaS está pronto para clientes reais?
Você envia o repositório (React/Next.js com Firebase ou Supabase). Fazemos uma revisão profunda do código e devolvemos um relatório em português: cada falha com o local, a evidência e como corrigir. Acesso somente leitura ao seu código.
Revisão de código autorizada. Sem testes contra o seu sistema em produção.
Em números
São números reais, lidos do nosso sistema a cada visita. Sem arredondar, sem inflar.
Os números começam a contar a partir da primeira auditoria concluída.
—
Projetos analisados
—
Fragilidades encontradas
—
Críticas evitadas antes do lançamento
Por que agora
O código roda. A segurança é outra pergunta.
Ferramentas de IA entregam um SaaS funcionando em dias. O que elas costumam deixar para depois são as regras de acesso, justamente o que só falha com clientes reais usando o sistema. Os padrões que mais vemos nesse tipo de projeto:
Nada disso é raro nem vergonhoso. É o tipo de falha que uma revisão feita antes do lançamento custa pouco para achar e muito para explicar depois.
- 01
Regras do Firebase abertas.
Um
allow read, write: if trueesquecido do modo de teste.firestore.rulesstorage.rules - 02
RLS do Supabase desligada.
A tabela existe, a política não, e a chave pública enxerga tudo.
policies.sqlanon key - 03
Chaves e segredos no front-end.
Tokens no bundle ou commitados no histórico do Git.
.envgit logbundle.js - 04
Vazamento entre clientes.
Uma consulta sem filtro de tenant mostra os dados da empresa A para a empresa B.
tenant_idwhere()
Como funciona
Três passos, sem mexer em produção
01 / ENVIO
Você envia o repositório.
Cola a URL de um repositório público do GitHub e confirma a autorização. Repositórios privados chegam em breve, com login do GitHub.
02 / REVISÃO
Auditamos a fundo.
Revisão manual do código: autenticação, isolamento entre clientes, regras do banco, segredos, dependências e configuração. Os achados são reproduzidos em ambiente local autorizado.
03 / RELATÓRIO
Você recebe o relatório.
Nota geral, achados por gravidade (crítico a baixo) com local no código, evidência e correção, e um plano de correção em ordem de prioridade. Quando o resultado permitir, o relatório inclui uma carta de atestado, sempre com o escopo descrito.
Escopo · 12 frentes
O que a auditoria cobre
Revisão profunda de código, não um scanner automático genérico.
Chaves de API
Onde estão, quem as enxerga e o que cada uma permite fazer.
Isolamento multi-cliente
Se um cliente consegue ler ou alterar dados de outro.
Regras Firebase / RLS Supabase
Políticas de acesso do banco: abertas, fracas ou ausentes.
Segredos no código e no Git
Chaves, senhas e tokens no código atual e no histórico de commits.
OWASP Top 10 e API Top 10
Checagem contra as categorias de risco mais citadas para apps web e APIs.
XSS e CSRF
Entradas que viram script na tela e ações disparadas em nome do usuário.
Dependências e SBOM
Pacotes com vulnerabilidade conhecida e a lista do que você realmente usa.
Pagamentos e webhooks
Verificação de assinatura, idempotência e liberação de acesso indevida.
HTTPS, headers e CORS
Configuração de transporte e quais origens podem falar com a sua API.
LGPD básica
Dados pessoais coletados, onde ficam e pontos básicos de exposição.
Prova reproduzível
Cada achado traz o passo a passo para você ver o problema acontecer.
Pedido
Solicitar auditoria profunda
Leva 1 minuto. Você recebe um link privado para acompanhar o relatório.
- PrivadoO código é usado só para a sua auditoria e não é compartilhado.
- Acesso somente leituraNão alteramos código, branches nem configurações.
- Nada contra produçãoTestes só em ambiente local autorizado.
Seu repositório
Três campos e uma confirmação.
Pedido recebido
Sua auditoria entrou na fila. Guarde o link abaixo para acompanhar e ver o relatório quando ficar pronto.
Link
Acompanhar auditoria
Enviamos um link de confirmação ao seu e-mail — confirme para receber o relatório por lá. O link acima já funciona de qualquer forma.
FAQ
Perguntas frequentes
Vocês precisam de acesso de escrita ao meu repositório?
Não. O acesso é somente leitura, e só para o repositório que você indicar. Não alteramos código, branches nem configurações.
Vocês mexem no meu sistema em produção?
Não. A revisão é de código, com testes feitos em ambiente local autorizado. Não executamos ataques nem varreduras contra o seu sistema no ar.
Funciona com repositório privado?
Sim. Você entra com o GitHub (confirmamos que o repositório é seu) e, para privados, instala o GitHub App do SAAS SHIELD no repositório — aí lemos o código em modo somente leitura para gerar o relatório. Repositórios públicos nem precisam da instalação.
Isso é uma certificação de conformidade?
Não. É uma revisão técnica de segurança, e o relatório descreve o escopo e as limitações. A seção de conformidade aponta pontos avaliados, sem substituir auditoria ou certificação formal (ISO, SOC 2 etc.). Se o resultado permitir, a carta de atestado diz apenas o que foi revisado.
Se o relatório não achar nada, meu sistema é 100% seguro?
Não, e nenhuma revisão honesta diz isso. Ausência de achados significa que não encontramos problemas no escopo revisado, naquele momento.
O que a auditoria NÃO cobre?
Ela cobre a parte verificável no código-fonte de um checklist completo de lançamento de SaaS: autenticação, autorização e multi-cliente, injeção e validação de entrada, segredos e dependências, pagamentos e webhooks, LGPD verificável no código e IA/LLM. Ficam de fora (exigem o app rodando, infraestrutura, teste manual ou análise jurídica): desempenho e carga, acessibilidade, entregabilidade real de e-mail, configuração de nuvem sem IaC no repositório, privacidade jurídica por país e pentest em produção.
O que acontece com o meu código depois?
É usado só para a sua auditoria, não é compartilhado, e os relatórios expiram automaticamente em 90 dias.