Descubra cada falha de segurança antes e depois do lançamento.
Sem a conta do servidor explodindo num ataque, sem usuário usando o plano pago de graça e sem vazamento de dados virando processo. O Faundr confere o projeto a cada conversa, e a IA corrige o que ele encontrar.
Uma falha de segurança, e a conta chega. Na fatura do servidor, na venda perdida ou no vazamento de dados.
A conta do servidor explode.
Um robô chama a sua API sem parar, ou alguém acha a sua chave da OpenAI e usa por você. A conta chega no fim do mês.
O Faundr confere
- Rotas sem limite de pedidos
- Pedido sem limite de tamanho
- Chave de IA exposta
- Abuso de API (revisão com IA)
O usuário leva o plano pago de graça.
O produto é liberado na página de obrigado, o valor vem do navegador ou o webhook não confere a assinatura. Basta saber o endereço.
O Faundr confere
- Produto liberado no redirecionamento
- Valor da cobrança vindo do navegador
- Webhook da Stripe sem assinatura
- Webhook que cobra duas vezes
Dados vazados viram processo.
Uma tabela sem RLS mostra nome, e-mail e CPF de todos os usuários para qualquer visitante. Pela LGPD, isso pode virar multa e processo.
O Faundr confere
- Tabela sem RLS
- Teste do banco como visitante
- Chave service_role no navegador
- Regras do Firebase abertas
0
checagens de segurança. Com toda a base pública de falhas de pacotes por trás.
- 0Chaves e senhas
- 0Revisão com IA
- 0Padrões de código
- 0Configuração
- 0Teste do banco
- 0Regras do banco
As 10 categorias do OWASP Top 10. A lista mais usada no mundo para falhas de apps web.
- A01Controle de acessoRLS, teste do banco, dado de outro usuário, menor privilégio
- A02Criptografia e segredoschaves expostas, criptografia caseira, dado sensível sem criptografia
- A03InjeçãoSQL, comando, eval e XSS
- A04Design inseguropagamento e lógica de negócio
- A05Configuraçãocabeçalhos, CORS, limite de pedidos, Firebase
- A06Pacotes com falhabase OSV todo dia e pacote malicioso
- A07AutenticaçãoJWT sem verificar, MFA e 12 checagens de login
- A08Integridadewebhook sem assinatura, pacote inventado
- A09Registro e monitoramentoação sem registro, registro apagável, sem alerta de abuso
- A10SSRFpedido do servidor para endereço do usuário
Os erros de segurança de quem constrói com IA são sempre os mesmos. E ninguém percebe até alguém de fora perceber.
A IA sabe muito de segurança, mas só olha quando você pede, esquece entre conversas e não vigia o projeto depois que ele está no ar. É aí que o Faundr entra.
Quatro camadas. Do segundo em que o código é escrito até depois de publicado.
A maior parte roda no seu computador, sem IA e sem gastar tokens. A revisão com IA usa o seu próprio plano de IA, só quando você pede.
Na hora
Barra antes de entrar.
Chave perigosa no código, pacote que não existe e comando que apaga o banco de produção. Migração sem volta ganha um aviso antes.
A cada conversa
Confere enquanto a IA trabalha.
Checagem completa no começo da sessão e nos arquivos mudados ao fim de cada resposta.
Todo dia
Vigia com o computador desligado.
O servidor confere os pacotes do projeto contra a base pública de falhas.
Quando você pede
Revisão com IA e teste do banco.
A IA lê cada rota como um invasor, um segundo revisor tenta derrubar cada suspeita e o banco é testado como um estranho.
Você não precisa entender de segurança. O painel explica cada problema, e a IA corrige.
Cada achado diz o que é, o que pode acontecer e como resolver. Um clique copia o comando, a IA corrige e o achado só sai da lista quando a checagem passa de novo.
Segurança: Chave da Stripe escrita no código.
Do código ao banco. Cada achado com gravidade, explicação e como resolver.
Chaves e senhas
421 regrasChave escrita no código, chave secreta numa variável que vai para o navegador e .env que foi parar no git. Cada achado vem com o link para trocar a chave no serviço.
- Chave da Stripe escrita no códigoCrítica
- Segredo numa variável NEXT_PUBLIC_ ou VITE_Crítica
- .env enviado para o gitCrítica
- .env fora do .gitignoreAlta
Checagem do código em 17 linguagens e frameworks
- JavaScript e TypeScript
- React Native
- Vue
- Angular
- Svelte e Astro
- Python
- Flutter e Dart
- PHP
- Go
- Java
- Kotlin
- C#
- Rust
- C
- C++
- Docker
- HTML
- C, C++ · Pacotes: parcial (só com Conan (conan.lock); o vcpkg não tem base pública de falhas conhecidas)
- Docker · Pacotes: ainda não (as imagens base não têm base pública de falhas conhecidas (OSV); a Qualidade avisa imagem sem versão fixa)
Sem instalar nada a mais. As ferramentas da linguagem só entram se o projeto já tiver. Ver o que cada parte cobre em cada linguagem
Ler o código não basta. O Faundr testa o banco do jeito que um estranho tentaria.
Com a chave pública do app, ele tenta ler, gravar, alterar e apagar em cada tabela, como visitante e como um usuário recém-criado. Tudo que o teste faz é desfeito no fim.
| tabela | Ler | Gravar | Alterar | Apagar |
|---|---|---|---|---|
| pedidos | aberto | fechado | fechado | fechado |
| perfis | fechado | fechado | fechado | fechado |
| cupons | aberto | aberto | fechado | fechado |
Nada muda no seu banco.Cada tentativa volta atrás, toca no máximo uma linha e para em 5 segundos.
Mostra o que vazaria.Avisa quando o visitante enxerga e-mail, CPF, telefone ou senha.
Entra no veredito de lançamento.Banco aberto impede o "Pronto para usuários reais".
O seu código não sai do seu computador. Nem a sua chave.
No seu computador
new Stripe('sk_live_51HxQ2fK8…aB9Qz')
No painel do Faundr
src/checkout/pagar.ts:2
sk_live_51Hx…9Qz
A checagem roda na sua máquina.Para o painel vai só o achado, com a chave mascarada.
A base de falhas só vê nomes.Para a OSV vão o nome e a versão de cada pacote.
Os tokens ficam com você.O token do Supabase do teste do banco nunca vai para o Faundr.
Já usa uma skill de segurança? Continue usando. O Faundr se conecta a ela e mostra os problemas que ela encontrar.
Uma auditoria de segurança de outro plugin, ou uma que o seu time escreveu, manda o resultado para a mesma lista das checagens do Faundr. O achado ganha gravidade, como resolver e a etiqueta "via /nome-da-skill", para você saber de onde veio.
- /auditoria-seguranca Plugin Conectada · Segurança
Revisar rotas, login ou regras do banco
- /escrever-texto Do projeto
Escrever ou melhorar o texto das páginas
- S-14Rota de pedidos devolve pedidos de outros usuáriosvia /auditoria-seguranca · src/api/orders.ts:18Alta
- S-13Chave da Stripe escrita no códigoChave ou senha · src/checkout/pay.ts:2Crítica
- S-12Link de troca de senha que não expiravia /auditoria-seguranca · src/auth/reset.ts:41Média
- S-11Nenhum limite de pedidos nas rotasConfiguração · src/server.tsAlta
- Conta como os do Faundr. Cada problema vira S-n em Segurança, com gravidade e como resolver, e pesa no veredito de lançamento do mesmo jeito.
- Fecha quando some. Rodou a skill de novo e ela não achou mais, o item fecha. Cada skill só fecha os próprios achados, nunca os do Faundr ou de outra skill.
- Um comando para conectar. O Faundr lê as skills do repositório, as suas e as dos plugins, e marca as que acham problemas. Dá para trocar no painel.
- As skills ficam no seu computador. Para o Faundr vão só o nome, a descrição e a origem de cada skill.
Perguntas
Substitui um teste de invasão (pentest)?
Não. O Faundr lê o código, confere pacotes e banco e testa o banco com a chave pública, mas não ataca o app no ar. Ele pega os erros comuns antes de eles irem para o ar; para apps com dados muito sensíveis, um pentest continua valendo.
Funciona com o meu projeto?
Muito provavelmente. A checagem do código roda em 17 linguagens e frameworks: JavaScript e TypeScript (React, Next.js, Vue, Angular, Svelte, Astro, React Native), Python, Go, Rust, Java, Kotlin, C#, PHP, Flutter, C, C++, Dockerfile e HTML. A de pacotes lê as listas do npm, Python, Rust, Go, PHP, Flutter, Ruby, .NET, Maven, Gradle e Conan. Banco: Supabase ou Firebase. Não precisa instalar nada a mais, e a documentação mostra o que vale em cada linguagem.
Gasta os meus tokens?
A checagem, a proteção na hora e o teste do banco rodam sem IA. Só a revisão com IA (/faundr:security) e as correções usam o seu plano de IA, quando você pede.
Já uso uma skill de segurança. Dá para continuar?
Dá. Rode /faundr:skills uma vez e o Faundr conecta. Daí em diante, o que ela achar aparece aqui como S-n, com "via /nome", e fecha quando ela roda de novo e não acha mais. Para o Faundr vão só o nome, a descrição e a origem da skill.
E se for falso alarme?
Você ignora com o motivo (não é problema ou risco aceito) por 7, 30 ou 90 dias. Chave em arquivo de exemplo e pacote só de desenvolvimento já chegam com a gravidade reduzida.