Preciso entregar o código?

Não. O teste é black-box: usamos o que está público e as contas de teste que você fornecer. O repositório não é necessário.

Isso é legal? Vocês podem testar meu app?

Sim, com escopo assinado contendo alvo, janela e responsável. Sem esse documento o teste não começa. Não testamos alvo de terceiro.

Derruba minha produção?

Não. O teste é não destrutivo, sem negação de serviço e sem alteração de dados. A janela é combinada antes.

Vocês corrigem ou só apontam?

Entregamos a remediação escrita por achado. Correção em pull request e suíte de testes no CI não fazem parte da Metodologia Express.

Meu app é pequeno. Faz sentido?

O risco não é o tamanho do app, é o dado que ele guarda. Em testes controlados, 44% das tarefas de geração de código por IA produziram código com vulnerabilidade (Veracode, 2026).

O laudo serve para o questionário do meu cliente?

Sim: severidade, evidência reproduzível, correção aplicada e respostas prontas para as perguntas mais comuns. Não é certificação SOC 2.

O escopo e o valor são fechados na call de 15 minutos. Você recebe proposta escrita em 24h e nada é cobrado antes do escopo assinado.

E se não encontrarem nada?

Você recebe o laudo com o que foi testado e a evidência de execução. O trabalho é cobrado: o compromisso é de prazo e escopo, não de resultado.

A call de escopo acontece em até 24h após a solicitação. Com escopo assinado e pagamento confirmado, a entrega ocorre em 48h.

Metodologia Express · 48h · black-boxSecvolt / audit

Teste de Segurança para vibe coding: Metodologia EXPRESS

Testamos sua API como um atacante faria: 20 verificações no que a IA costuma deixar aberto. Laudo com evidência e correção escrita; escopo e valor fechados na call de 15 minutos.

01 — diagnóstico

01API5Crítica
Rota administrativa responde sem sessão
02SB-01Crítica
Chave de administrador no bundle
03SB-02Crítica
Banco sem isolamento por registro

Falar no WhatsApp

Sem custo na call · proposta em 24h · nada é cobrado antes do escopo

Escopo assinado
48h
Evidência reproduzível
Sem selo de compliance

Feito para apps de

44%

das tarefas de geração de código por IA produziram código com vulnerabilidade

Fonte: Veracode, 2026

Fontes:Veracode 2026 CVE-2025-48757 OWASP API Top 10

O problema

A IA entrega a feature. Raramente entrega a autorização.

Apps gerados por IA funcionam na tela e falham na camada que ninguém vê: a API. Estes quatro padrões aparecem em quase toda auditoria.

01
Qualquer visitante pode ler seu banco inteiro
A chave de administrador do banco vai embutida no JavaScript. Duas strings copiadas da página abrem todas as tabelas.
eyJhbGciOiJIUzI1NiJ9… role: admin
Crítica
02
Os dados de todos os usuários ao alcance de um GET
Sem isolamento por registro, a API responde com a base inteira — e a chave usada pelo front é pública por design.
GET /rest/v1/profiles?select=* → 200 · 12.481 linhas
Crítica
03
O botão está escondido. A rota continua aberta.
O front esconde a ação, mas /api/todos responde sem checar quem chamou. Esconder no cliente não é autorização.
GET /api/admin/users → 200 · sem cookie de sessão
Alta
04
Seu endpoint de IA é uma torneira aberta
Sem rate limit, um script transforma a feature em consumo ilimitado de tokens na sua conta.
POST /v1/chat → 200 · 240 req/min sem bloqueio
Alta

Esconder o botão no front não é autorização. Se a API responde sem checar quem está chamando, o dado está público — mesmo que a tela exija login.

O que testamos

20 verificações. Nenhuma delas é checklist de papel.

Dez riscos do OWASP API Security Top 10 aplicados ao seu stack, mais dez verificações específicas do que a IA costuma deixar aberto em bancos, frameworks e APIs.

Vinte verificações de segurança divididas entre OWASP API Top 10 e stack.
ID	Verificação	O que olhamos	Severidade
OWASP API Top 10
API1	BOLA / IDOR	Objeto acessível trocando o ID na URL, sem checar dono no servidor.	Crítica
API2	Autenticação quebrada	JWT sem verificação, segredo fraco, token sem expiração ou chave no bundle.	Crítica
API3	Mass assignment	PATCH aceita role, plan ou createdAt e o cliente vira admin.	Crítica
API4	Consumo sem limite	Endpoint de IA ou de busca sem rate limit: custo e indisponibilidade.	Alta
API5	BFLA	Rota de admin apenas escondida no front, sem checagem de função no servidor.	Crítica
API6	Fluxo de negócio	Preço vindo do cliente, cupom reutilizável, aprovação em duas etapas contornável.	Alta
API7	SSRF	Feature que busca URL buscando a rede interna ou metadados da nuvem.	Alta
API8	Má configuração	CORS aberto com credenciais, sourcemaps públicos, bucket gravável.	Crítica
API9	Inventário de endpoints	Versão antiga da API ainda no ar, rota de debug e endpoint esquecido.	Alta
API10	Consumo inseguro	Webhook sem verificação de assinatura e resposta de terceiro tratada como confiável.	Alta
Stack vibe-coded
SB-01	Chave de administrador no bundle	Chave de administrador do banco encontrada no JavaScript público.	Crítica
SB-02	Isolamento por registro	Cada tabela exposta na API testada com a chave pública real.	Crítica
SB-03	Regras do banco	Leitura e escrita anônimas testadas direto na API do banco.	Crítica
SB-04	Sourcemaps públicos	Código-fonte e comentários expostos via .map em produção.	Alta
SB-05	Segredos no bundle	Tokens de pagamento, IA e repositório procurados por prefixo e entropia.	Crítica
SB-06	Headers de segurança	CSP, HSTS, nosniff, frame-ancestors e Referrer-Policy conferidos.	Média
SB-07	CORS com credenciais	Origem hostil testada contra Access-Control-Allow-Origin e credenciais.	Alta
SB-08	Rotas internas sem auth	Rotas de API e ações de servidor chamadas sem sessão para ver o que responde.	Crítica
SB-09	Pacotes alucinados	Dependência inexistente ou typosquatted sugerida pela IA no lockfile.	Alta
SB-10	Validação server-side	Schema aplicado no servidor, não só no formulário do cliente.	Alta

Onze verificações rodam automatizadas na suíte; as demais entram na revisão manual de autorização e lógica. Cada achado vem com severidade, evidência reproduzível (request e resposta), impacto de negócio e correção. Achado sem evidência não entra no laudo.

Evidência

Achado sem prova é opinião.

Cada achado traz a requisição, a resposta redigida, o impacto no negócio e a correção escrita para o seu stack. O que não conseguimos reproduzir não entra no laudo.

Evidência reproduzível: método, caminho e resposta.
Segredo redigido: o laudo não vaza credencial.
Correção escrita por achado, no seu contexto.

Re-scan opcional confirma o fechamento

laudo / achado 01crítica

Rota administrativa responde sem sessão

GET /api/admin/users HTTP/2
← 200 · 412 registros · sem cookie

Impacto: qualquer visitante lê a base de usuários
Correção: exigir papel no handler, antes da consulta

escopo assinado · 48h · re-scan opcional

O resultado

Você não fica com um PDF e um problema.

Passa no questionário do cliente

O laudo responde às perguntas de segurança que travam contrato com empresa grande.

Correção, não lista de avisos

Cada achado vem com a correção escrita para o seu stack — não com um alerta solto.

Dá para provar depois

Re-scan opcional confirma o fechamento e atualiza o laudo com o antes e o depois.

Evidência pronta

Bloco de respostas para LGPD e due diligence, com evidência reproduzível por achado.

48h e escopo fechado

Você sabe o prazo e o que está incluso antes de começar. O valor vem na proposta.

→

Você fala a língua do cliente

Respostas objetivas para as perguntas de segurança que aparecem antes do contrato.

Como funciona

Três passos. Um artefato em cada.

01
Escopo em 15 minutos
Call curta para definir o alvo, o perímetro e o que está fora. Autorização assinada e preço fechado antes de qualquer teste.
escopo-assinado.pdf
02
Auditoria da API
20 verificações automatizadas no stack (bancos, frameworks e APIs) mais revisão manual de autorização e lógica de negócio.
laudo.md
03
Entrega e correção
Laudo com evidência e remediação escrita por achado. Re-scan opcional para confirmar o fechamento.
remediação por achado

Oferta

Um teste. Um escopo. Um valor definido na call.

Sem tabela de preços e sem add-on escondido. O que está incluso e o que não está, antes de qualquer conversa.

Metodologia Express

oferta principal

48 horas · valor na call

Teste black-box para apps feitos com vibe coding.

Inclui

20 verificações no stack detectado
Revisão manual de autorização com duas contas
Laudo com evidência reproduzível
Remediação escrita por achado
Bloco de respostas para o questionário do cliente
Call de 15 min de apresentação

Não inclui

Acesso ao repositório e correção em pull request
Suíte de testes no CI
Re-scan
Retrabalho ilimitado

Aditivos

Re-scan — reexecução da suíte + laudo delta
Urgência 24h — fila priorizada
Segunda API — mesmo escopo, outro alvo

Agendar call de escopo

O valor é fechado na call de 15 minutos, com proposta escrita em 24h. Nada é cobrado antes do escopo assinado.

01
Call de 15 min
Alvo, janela, autorização e limites.
02
Proposta em 24h
Escopo fechado, valor e prazo.
03
Execução em 48h
Laudo, evidência e remediação escrita.

Compromisso

O escopo é o escopo.

O escopo é fechado, o valor é definido na proposta e o compromisso é com prazo e evidência.

Escopo fechado e assinado antes de começar.
Laudo em 48h ou 20% de desconto no valor da auditoria.
Nada fora do escopo entra sem orçamento aprovado.
Uma rodada de dúvidas por escrito inclusa; o resto é hora extra.

Paulo Ramos

Fundador e auditor · Curitiba/PR

Método: OWASP API Top 10 + PTES
Cobertura: 20 verificações
Entrega: Laudo + evidência + remediação
Prazo: 48h

Quem audita

Quem executa o seu teste.

Paulo Ramos é fundador da Secvolt. São mais de 25 anos em infraestrutura, redes, Linux, NOC, SOC e DevSecOps — tempo suficiente para saber que a maior parte do risco não está no scanner, está na autorização.

O teste segue o OWASP API Top 10 e o processo PTES. Cada achado precisa de evidência reproduzível e correção escrita; o que não reproduzimos fica fora do laudo.

Ver a metodologia em seis fases

Dúvidas

O que perguntam antes de contratar.

Respostas curtas, com limite declarado. Se alguma não servir, a proposta resolve.

§01
Preciso entregar o código?
Não. O teste é black-box: usamos o que está público e as contas de teste que você fornecer. O repositório não é necessário.
§02
Isso é legal? Vocês podem testar meu app?
Sim, com escopo assinado contendo alvo, janela e responsável. Sem esse documento o teste não começa. Não testamos alvo de terceiro.
§03
Derruba minha produção?
Não. O teste é não destrutivo, sem negação de serviço e sem alteração de dados. A janela é combinada antes.
§04
Vocês corrigem ou só apontam?
Entregamos a remediação escrita por achado. Correção em pull request e suíte de testes no CI não fazem parte da Metodologia Express.
§05
Meu app é pequeno. Faz sentido?
O risco não é o tamanho do app, é o dado que ele guarda. Em testes controlados, 44% das tarefas de geração de código por IA produziram código com vulnerabilidade (Veracode, 2026).
§06
O laudo serve para o questionário do meu cliente?
Sim: severidade, evidência reproduzível, correção aplicada e respostas prontas para as perguntas mais comuns. Não é certificação SOC 2.
§07
Quanto custa?
O escopo e o valor são fechados na call de 15 minutos. Você recebe proposta escrita em 24h e nada é cobrado antes do escopo assinado.
§08
E se não encontrarem nada?
Você recebe o laudo com o que foi testado e a evidência de execução. O trabalho é cobrado: o compromisso é de prazo e escopo, não de resultado.
§09
Quanto tempo leva?
A call de escopo acontece em até 24h após a solicitação. Com escopo assinado e pagamento confirmado, a entrega ocorre em 48h.

Agendar call de escopo

escopo fechado · valor na call · resposta em 24h

Próximo passo

Seu cliente vai perguntar sobre segurança. Chegue com a resposta pronta.

Conte o alvo e a plataforma. A call de 15 minutos fecha escopo, janela e responsável; a proposta com valor chega em 24h.

Escopo e autorização assinados antes de qualquer teste
Laudo com evidência e remediação escrita — não só um PDF
Nada é cobrado antes do escopo assinado

Prefere e-mail? contato@secvolt.com.br

WhatsApp direto

Falar com quem executa o teste.

Sem formulário e sem fila de vendas. Manda o contexto no WhatsApp e recebe o escopo e o valor em até 24h.

Abrir WhatsApp

+55 44 98812-4568 · Paulo Ramos