pentest sem virar pentester · ronda grátis e ilimitada

Seu app subiu num fim de semana. Suas chaves de API também?

A Guarita vasculha o seu app como um invasor faria — só que antes dele, e do seu lado. Volta com o que está exposto em português de gente e o conserto pronto pra colar na sua IA.

demonstração ao vivoGuarita Guarita

Sem cartão · sem instalar nada · cole a URL e a ronda parte

ver a Missão por dentro ↓

De plantão em apps nascidos noLovableClaude CodeCursorv0SupabaseReplit

Você escreveu o prompt. Ninguém escreveu a fechadura.

A IA escreve rápido. Trancar não é o trabalho dela. E estas quatro portas não aparecem quando você testa o app — tudo funciona. São as que ela mais acha em app feito com IA.

Chave exposta
01
OPENAI_API_KEY = "sk-live-…"

Abrem o DevTools, copiam a chave e torram milhares de reais na sua conta — em horas, enquanto você dorme.

✓ conserto:mover a chave pro backend · 1 prompt
CORS escancarado
02
Access-Control-Allow-Origin: *

Qualquer site da internet faz requisição logado como o seu usuário. É tapete vermelho pra roubo de sessão.

✓ conserto:restringir as origens · 1 prompt
Banco sem trava
03
Supabase · RLS: disabled

Sem Row Level Security, um visitante baixa a tabela inteira: e-mails, dados dos seus usuários, tudo.

✓ conserto:ligar RLS com policies · 1 prompt
Porta sem cadeado
04
Content-Security-Policy: (ausente)

Sem os cabeçalhos básicos, injetam script na sua página e sequestram a sessão de quem loga.

✓ conserto:adicionar os 5 headers · 1 prompt

Nenhuma das quatro é difícil de fechar. É difícil de ver. Confirme que o app é seu — a Guarita escreve o prompt, a sua IA publica a prova — e ela deixa de olhar pela janela: passa a bater em cada porta

▸ o pulo do gato

Todo scanner aponta o dedo. A Guarita estende a mão.

Cada ronda vira uma Missão: o que está em risco, por quê e o conserto pronto pra colar na IA que você já usa. Isto é o que você recebe — e pode mexer: marque um objetivo e veja o risco cair.

▸ Missãoapp.exemplo.com.br

Objetivos da missão

experimente marcar ✓

no relatório real, cada conserto derruba o risco assim

Crítico

Chave de API exposta no front-end

O que éem português

Sua chave secreta (a OPENAI_API_KEY) foi parar no JavaScript que vai pro navegador — qualquer um abre o DevTools e lê.

Por que importa

Com a chave na mão, fazem chamadas na sua conta e a fatura é sua. É das brechas que mais aparecem em apps feitos com IA — e a mais cara.

Prompt pra corrigirconserto pronto
prompt pra colar no Claude Code

Encontrei uma chave de API sensível exposta no JavaScript do front-end. Mova essa chave para uma variável de ambiente no servidor, crie um endpoint backend que faça a chamada usando a chave com segurança, e atualize o front para chamar esse endpoint em vez de usar a chave diretamente. Remova a chave do código do cliente.

Cole, mande rodar e revise. Você não precisa saber consertar — só conferir que ficou pronto. ✓

▸ integrações

Ligue a Guarita onde o seu app já mora

Conectou, a própria hospedagem confirma que o domínio é seu — e a ronda ganha passagem por onde um scanner normalmente esbarra.

conectar não depende de plano · automatizar, sim
Cloudflare
posse do domínio + passagem pelo WAF

A Cloudflare atesta que o domínio é seu, sem você tocar em DNS. E abre uma passagem temporária, só pra quem carrega o segredo daquela ronda: assim o seu muro não confunde o seu guarda com um invasor.

app verificado · no plano grátis da Cloudflare, o Bot Fight Mode sai do ar durante a ronda e a Guarita religa no fim (e insiste, se falhar)
Vercel
atestação de projeto + ronda a cada publicação

A Vercel atesta a posse por você. E, se você ligar, cada publicação dispara uma ronda — o veredito volta como Check e pode segurar o deploy.

os dois interruptores nascem desligados · Pro ou Business
Lovable
ronda de dentro do chat

Peça a ronda no chat do Lovable e ela parte dali mesmo. A prova de posse o próprio Lovable publica pra você.

por conector MCP · nada pra instalar

O que a Guarita enxerga do lado de fora do seu app

Ela não pede o seu código nem a sua senha. É o que dá pra ver da mesma porta por onde qualquer estranho chega.

.env
o arquivo que ficou no ar

O .env que subiu junto, a pasta .git inteira, o backup do banco largado numa pasta. Ela bate em cada um: o que responder pra ela responde pra qualquer um.

//#
o seu código-fonte reconstruído

Se o mapa do código foi junto no deploy, qualquer um remonta o seu fonte original a partir do site publicado. A Guarita remonta primeiro — e varre o que achou.

beta.
o subdomínio que você esqueceu

Aquele host que você subiu pra testar e esqueceu ainda aponta pra algum lugar — às vezes pra um serviço cancelado, que qualquer um reivindica no seu nome.

@
o e-mail que leva o seu nome

SPF, DKIM e DMARC decidem se qualquer um pode mandar e-mail se passando por você. É a brecha que ninguém lembra de checar.

A ronda completa — a do app verificado — cobre cerca de 40 frentes. Você não precisa saber o nome de nenhuma.

▸ faça as contas

Pentest manual vs. Guarita de plantão

Pentest manual

R$ 15.000–50.000

  • Semanas de fila só pra alguém começar a olhar
  • Um PDF em jargão que você lê com o tradutor aberto do lado
  • No fim, uma lista de problemas e um “boa sorte aí”
  • Uma foto de um dia. No dia seguinte, ninguém olhando.
Guarita Guarita de plantão

R$ 0 pra começar

  • Você cola a URL e a ronda parte — sem fila, sem reunião, sem escopo pra assinar
  • A Missão em português de gente — de graça, sempre
  • O conserto vem como prompt pra colar na sua IA — completo nos planos pagos
  • Alguém de plantão pra avisar por e-mail se abrir de novo — do Starter pra cima

A Guarita não substitui uma auditoria humana completa. Ela cobre o que tentam primeiro contra o seu app, quantas vezes você quiser, por uma fração do preço.

Comece de graça. Sobe de posto quando o app crescer.

No Business, o plantão cobre o domínio inteiro. A Guarita acha sozinha os subdomínios que você esqueceu que existiam — e monta guarda em até 200 hosts por conta.

Perguntas de quem tá quase apertando o botão

Isso vai quebrar alguma coisa no meu app?

Quase tudo é leitura — mas a Guarita prova em vez de suspeitar. Pra testar upload, ela sobe um arquivo-canário (guarita-scanner-…) e deixa lá; pode apagar. A ronda autenticada do Pro e do Business, que só roda se você ligar, vai além: cria conta de teste, grava uma linha e toca num registro alheio. Nada disso acontece antes de você provar que o app é seu.

Preciso saber de segurança pra usar?

Não — é justamente pra quem não sabe. O achado chega traduzido: o que está aberto e o que acontece se ficar assim. Nos planos pagos vem junto o prompt: cola na sua IA e revisa.

Funciona com app feito no Lovable, no Cursor, no v0?

Funciona com qualquer app que tenha URL pública. Aliás, é nesses que a Guarita mais acha porta encostada — não porque quem buildou é ruim, mas porque nenhuma IA para pra trancar.

O que é de graça de verdade?

A ronda, ilimitada e sem cartão, com a explicação em português — entender o relatório nunca foi a parte paga. E um conserto completo de amostra, um por conta. Os outros consertos, a análise com IA e o plantão vêm nos planos pagos, a partir de R$ 79/mês.

E a LGPD, entra nisso?

No Pro e no Business, sim: ela checa rastreador antes do consentimento, política de privacidade e encarregado, transferência internacional e direitos do titular — cada um com o artigo da lei. É pré-diagnóstico técnico, não parecer jurídico.

O que entra no pré-diagnóstico, em detalhe →
E se ela não achar nada?

Melhor notícia do dia — quer dizer: nada exposto no que ela checou. Só que app seguro hoje não é app seguro em março: uma dependência atualiza, um deploy muda um header, e a porta abre sozinha. Por isso existe o plantão, do Starter pra cima: a ronda volta sozinha, todo dia ou toda semana, e te avisa se algo abrir.

Uma hora alguém vai olhar o seu app de fora. Melhor que seja a Guarita.

Melhor que seja agora, num relatório que você lê tomando café — e não num e-mail de alguém que já entrou. Criar a conta leva menos de um minuto, não pede cartão, e a ronda no seu app é ilimitada.

Pôr a Guarita de plantão