Revisão de código de segurança para SaaS feito com IA

Seu SaaS está pronto para clientes reais?

Você envia o repositório (React/Next.js com Firebase ou Supabase). Auditores revisam o código a fundo e devolvem um relatório em português: cada falha com o local, a evidência e como corrigir. Tudo com NDA e acesso somente leitura.

Solicitar auditoria Ver relatório de exemplo

Revisão de código autorizada. Sem testes contra o seu sistema em produção.

relatorio / plataforma-agendamento exemplo ilustrativo

Revisão de segurança — Plataforma de agendamento

github.com/exemplo/agenda-saas · 6 achados

Crítica

Alta

Média

Baixa

CríticaRegras do Firestore permitem leitura de qualquer documentoSS-001

CríticaChave service_role do Supabase exposta no front-endSS-002

AltaWebhook de pagamento sem verificação de assinaturaSS-003

firestore.ruleslinha 12 · correção

11match /appointments/{id} {12  allow read: if true;12  allow read: if request.auth != null13    && resource.data.clinicId == request.auth.token.clinicId;14}

✓ Plano de correção: 6 passos, em ordem de prioridade

Em números

São números reais, lidos do nosso sistema a cada visita. Sem arredondar, sem inflar.

—

Projetos analisados

—

Fragilidades encontradas

—

Críticas evitadas antes do lançamento

Por que agora

O código roda. A segurança é outra pergunta.

Ferramentas de IA entregam um SaaS funcionando em dias. O que elas costumam deixar para depois são as regras de acesso, justamente o que só falha com clientes reais usando o sistema. Os padrões que mais vemos nesse tipo de projeto:

Nada disso é raro nem vergonhoso. É o tipo de falha que uma revisão feita antes do lançamento custa pouco para achar e muito para explicar depois.

01
Regras do Firebase abertas.
Um allow read, write: if true esquecido do modo de teste.
firestore.rulesstorage.rules
02
RLS do Supabase desligada.
A tabela existe, a política não, e a chave pública enxerga tudo.
policies.sqlanon key
03
Chaves e segredos no front-end.
Tokens no bundle ou commitados no histórico do Git.
.envgit logbundle.js
04
Vazamento entre clientes.
Uma consulta sem filtro de tenant mostra os dados da empresa A para a empresa B.
tenant_idwhere()

Como funciona

Três passos, sem mexer em produção

01 / ENVIO

Você envia o repositório.

Informa o repo do GitHub, confirma a autorização e assina o NDA. Para repositório privado, você libera um acesso de leitura.

02 / REVISÃO

Auditamos a fundo.

Revisão manual do código: autenticação, isolamento entre clientes, regras do banco, segredos, dependências e configuração. Os achados são reproduzidos em ambiente local autorizado.

03 / RELATÓRIO

Você recebe o relatório.

Nota geral, achados por gravidade (crítico a baixo) com local no código, evidência e correção, e um plano de correção em ordem de prioridade. Quando o resultado permitir, o relatório inclui uma carta de atestado, sempre com o escopo descrito.

Escopo · 12 frentes

O que a auditoria cobre

Revisão profunda de código, não um scanner automático genérico.

Autenticação e sessão

Chaves de API

Onde estão, quem as enxerga e o que cada uma permite fazer.

Isolamento multi-cliente

Se um cliente consegue ler ou alterar dados de outro.

Regras Firebase / RLS Supabase

Políticas de acesso do banco: abertas, fracas ou ausentes.

Segredos no código e no Git

Chaves, senhas e tokens no código atual e no histórico de commits.

OWASP Top 10 e API Top 10

Checagem contra as categorias de risco mais citadas para apps web e APIs.

XSS e CSRF

Entradas que viram script na tela e ações disparadas em nome do usuário.

Dependências e SBOM

Pacotes com vulnerabilidade conhecida e a lista do que você realmente usa.

Pagamentos e webhooks

Verificação de assinatura, idempotência e liberação de acesso indevida.

HTTPS, headers e CORS

Configuração de transporte e quais origens podem falar com a sua API.

LGPD básica

Dados pessoais coletados, onde ficam e pontos básicos de exposição.

Prova reproduzível

Cada achado traz o passo a passo para você ver o problema acontecer.

O que vem no relatório

Veja um relatório antes de pedir o seu

O relatório de exemplo mostra exatamente o formato da entrega, sem enrolação.

Nota geral do projeto.
Achados por gravidade, cada um com título, local no código, evidência e correção.
Conformidade, com o resumo dos pontos avaliados.
Plano de correção, em ordem de prioridade.
Escopo e limitações declarados no próprio relatório.
Carta de atestado, quando aplicável ao resultado da revisão.

Abrir relatório de exemplo

O exemplo é ilustrativo e não representa um cliente real.

Exemplo

Plataforma de agendamento

SS-001 → SS-006 · revisão estática + reprodução local

Achado

AltaWebhook de pagamento sem verificação de assinatura

functions/stripe-webhook.js:8

Risco: Alguém pode enviar um webhook falso dizendo que pagou e liberar uma assinatura sem pagar.
Correção: Verificar a assinatura do evento antes de processar e tratar idempotência pelo id do evento.

Plano de correção

1. Fechar as regras do Firestore por clienteM
2. Remover e rotacionar a chave service_roleM
3. Verificar assinatura do webhook de pagamentoP

Escopo e limitações. Revisão estática do código e testes em ambiente local autorizado. Não inclui pentest em produção.

Pedido

Solicitar auditoria profunda

Leva 1 minuto. Você recebe um link privado para acompanhar o relatório.

NDAO código é usado só para a sua auditoria.
Acesso somente leituraNão alteramos código, branches nem configurações.
Nada contra produçãoTestes só em ambiente local autorizado.

Seu repositório

Três campos e uma confirmação.

Leva 1 min

Repositório do seu projeto (GitHub) Repositório público funciona direto. Repositório privado? Conectar com GitHub

Seu e-mail de contato Usamos só para avisar do andamento e enviar o link do relatório.

Stack e o que o sistema guarda (opcional) Quanto mais contexto, mais direcionada a revisão.

Trabalhamos com NDA e acesso somente leitura. Não executamos testes contra o seu sistema em produção.

Pedido recebido

Sua auditoria entrou na fila. Guarde o link abaixo para acompanhar e ver o relatório quando ficar pronto.

Link

Acompanhar auditoria

Também avisamos no seu e-mail quando o relatório estiver pronto.

FAQ

Perguntas frequentes

Vocês precisam de acesso de escrita ao meu repositório?

Não. O acesso é somente leitura, e só para o repositório que você indicar. Não alteramos código, branches nem configurações.

Vocês mexem no meu sistema em produção?

Não. A revisão é de código, com testes feitos em ambiente local autorizado. Não executamos ataques nem varreduras contra o seu sistema no ar.

Funciona com repositório privado?

Sim. Depois do pedido, entramos em contato e você adiciona uma credencial de leitura. Você pode revogá-la quando a auditoria terminar.

Isso é uma certificação de conformidade?

Não. É uma revisão técnica de segurança, e o relatório descreve o escopo e as limitações. A seção de conformidade aponta pontos avaliados, sem substituir auditoria ou certificação formal (ISO, SOC 2 etc.). Se o resultado permitir, a carta de atestado diz apenas o que foi revisado.

Se o relatório não achar nada, meu sistema é 100% seguro?

Não, e nenhuma revisão honesta diz isso. Ausência de achados significa que não encontramos problemas no escopo revisado, naquele momento.

O que acontece com o meu código depois?

Ele fica sob NDA, é usado só para a sua auditoria e não é compartilhado.