A Guarita vasculha o seu app como um invasor faria — só que antes dele, e do seu lado. Volta com o que está exposto em português de gente e o conserto pronto pra colar na sua IA.
Sem cartão · sem instalar nada · cole a URL e a ronda parte
A IA escreve rápido. Trancar não é o trabalho dela. E estas quatro portas não aparecem quando você testa o app — tudo funciona. São as que ela mais acha em app feito com IA.
OPENAI_API_KEY = "sk-live-…"→ Abrem o DevTools, copiam a chave e torram milhares de reais na sua conta — em horas, enquanto você dorme.
Access-Control-Allow-Origin: *→ Qualquer site da internet faz requisição logado como o seu usuário. É tapete vermelho pra roubo de sessão.
Supabase · RLS: disabled→ Sem Row Level Security, um visitante baixa a tabela inteira: e-mails, dados dos seus usuários, tudo.
Content-Security-Policy: (ausente)→ Sem os cabeçalhos básicos, injetam script na sua página e sequestram a sessão de quem loga.
Nenhuma das quatro é difícil de fechar. É difícil de ver. Confirme que o app é seu — a Guarita escreve o prompt, a sua IA publica a prova — e ela deixa de olhar pela janela: passa a bater em cada porta
Cada ronda vira uma Missão: o que está em risco, por quê e o conserto pronto pra colar na IA que você já usa. Isto é o que você recebe — e pode mexer: marque um objetivo e veja o risco cair.
no relatório real, cada conserto derruba o risco assim
Sua chave secreta (a OPENAI_API_KEY) foi parar no JavaScript que vai pro navegador — qualquer um abre o DevTools e lê.
Com a chave na mão, fazem chamadas na sua conta e a fatura é sua. É das brechas que mais aparecem em apps feitos com IA — e a mais cara.
Encontrei uma chave de API sensível exposta no JavaScript do front-end. Mova essa chave para uma variável de ambiente no servidor, crie um endpoint backend que faça a chamada usando a chave com segurança, e atualize o front para chamar esse endpoint em vez de usar a chave diretamente. Remova a chave do código do cliente.
Cole, mande rodar e revise. Você não precisa saber consertar — só conferir que ficou pronto. ✓
Conectou, a própria hospedagem confirma que o domínio é seu — e a ronda ganha passagem por onde um scanner normalmente esbarra.
A Cloudflare atesta que o domínio é seu, sem você tocar em DNS. E abre uma passagem temporária, só pra quem carrega o segredo daquela ronda: assim o seu muro não confunde o seu guarda com um invasor.
A Vercel atesta a posse por você. E, se você ligar, cada publicação dispara uma ronda — o veredito volta como Check e pode segurar o deploy.
Peça a ronda no chat do Lovable e ela parte dali mesmo. A prova de posse o próprio Lovable publica pra você.
Ela não pede o seu código nem a sua senha. É o que dá pra ver da mesma porta por onde qualquer estranho chega.
O .env que subiu junto, a pasta .git inteira, o backup do banco largado numa pasta. Ela bate em cada um: o que responder pra ela responde pra qualquer um.
Se o mapa do código foi junto no deploy, qualquer um remonta o seu fonte original a partir do site publicado. A Guarita remonta primeiro — e varre o que achou.
Aquele host que você subiu pra testar e esqueceu ainda aponta pra algum lugar — às vezes pra um serviço cancelado, que qualquer um reivindica no seu nome.
SPF, DKIM e DMARC decidem se qualquer um pode mandar e-mail se passando por você. É a brecha que ninguém lembra de checar.
A ronda completa — a do app verificado — cobre cerca de 40 frentes. Você não precisa saber o nome de nenhuma.
R$ 15.000–50.000
R$ 0 pra começar
A Guarita não substitui uma auditoria humana completa. Ela cobre o que tentam primeiro contra o seu app, quantas vezes você quiser, por uma fração do preço.
No Business, o plantão cobre o domínio inteiro. A Guarita acha sozinha os subdomínios que você esqueceu que existiam — e monta guarda em até 200 hosts por conta.
Quase tudo é leitura — mas a Guarita prova em vez de suspeitar. Pra testar upload, ela sobe um arquivo-canário (guarita-scanner-…) e deixa lá; pode apagar. A ronda autenticada do Pro e do Business, que só roda se você ligar, vai além: cria conta de teste, grava uma linha e toca num registro alheio. Nada disso acontece antes de você provar que o app é seu.
Não — é justamente pra quem não sabe. O achado chega traduzido: o que está aberto e o que acontece se ficar assim. Nos planos pagos vem junto o prompt: cola na sua IA e revisa.
Funciona com qualquer app que tenha URL pública. Aliás, é nesses que a Guarita mais acha porta encostada — não porque quem buildou é ruim, mas porque nenhuma IA para pra trancar.
A ronda, ilimitada e sem cartão, com a explicação em português — entender o relatório nunca foi a parte paga. E um conserto completo de amostra, um por conta. Os outros consertos, a análise com IA e o plantão vêm nos planos pagos, a partir de R$ 79/mês.
No Pro e no Business, sim: ela checa rastreador antes do consentimento, política de privacidade e encarregado, transferência internacional e direitos do titular — cada um com o artigo da lei. É pré-diagnóstico técnico, não parecer jurídico.
O que entra no pré-diagnóstico, em detalhe →Melhor notícia do dia — quer dizer: nada exposto no que ela checou. Só que app seguro hoje não é app seguro em março: uma dependência atualiza, um deploy muda um header, e a porta abre sozinha. Por isso existe o plantão, do Starter pra cima: a ronda volta sozinha, todo dia ou toda semana, e te avisa se algo abrir.
Melhor que seja agora, num relatório que você lê tomando café — e não num e-mail de alguém que já entrou. Criar a conta leva menos de um minuto, não pede cartão, e a ronda no seu app é ilimitada.
Pôr a Guarita de plantão →