# ecoa

> ecoa é uma plataforma brasileira para quem cria apps e sites — com IA (Lovable, Cursor, Bolt, v0,
> Replit) ou na unha. Ela responde à pergunta "meu site está seguro e em conformidade?" com uma
> verificação automática, e complementa com testes feitos por pessoas reais.
> Idioma principal: português do Brasil (pt-BR). Também disponível em inglês e espanhol.

## Verificação gratuita, sem cadastro

Qualquer pessoa pode colar a URL de um site em https://ecoa.dev/scan e receber, em cerca de um minuto, os
problemas encontrados, contados por severidade (crítico, alto, médio, baixo). **Não exige conta,
cartão nem instalação.**

O que a verificação gratuita analisa (cinco frentes passivas, tudo observável publicamente):

- **Cabeçalhos HTTP** — CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy,
  Permissions-Policy, isolamento cross-origin e exposição de tecnologia no header `Server`.
- **TLS/SSL** — protocolos e cifras aceitos, validade e expiração do certificado, redirecionamento
  HTTP → HTTPS.
- **DNS** — DNSSEC, registro CAA, risco de subdomain takeover e proximidade de expiração do domínio.
- **E-mail** — SPF, DKIM e DMARC (o que impede alguém de mandar e-mail se passando pelo seu domínio).
- **SEO/AEO** — indexação, dados estruturados, sitemap, `llms.txt`, matriz de crawlers de IA e
  caminhos privados expostos no `robots.txt`.

Sem cadastro, o resultado traz a contagem por severidade e, de cada frente, o achado mais grave com
a evidência observada. Criar conta (gratuito) libera a evidência técnica de todos os achados.

## O que exige conta

- **Conformidade LGPD (Lei 13.709/2018)** — banner de consentimento, política de privacidade, contato
  do Encarregado (DPO), direitos do titular e bases legais.
- **Análise de BaaS e pagamentos** — exposição de Supabase/Firebase, falhas de autorização (BOLA),
  adulteração de preço, inventário de APIs.
- **Pentest autenticado** — Nuclei, ZAP, sqlmap e descoberta de conteúdo. Exige **validação de
  titularidade do domínio**: só roda contra um site que você provou ser seu.
- **Análise da área logada** — mapeia e testa páginas atrás do login.
- **Teste com pessoas reais** — testadores usam o app e devolvem feedback acionável, com moderação de
  qualidade por IA.

## Conecte sua IA ao ecoa (MCP)

O ecoa expõe um **servidor MCP (Model Context Protocol)** remoto em `https://mcp.ecoa.dev/api/mcp`, transporte
Streamable HTTP. Funciona com Claude, Cursor, ChatGPT, VS Code, Windsurf e qualquer cliente compatível
com MCP.

São **dois endereços**, e a diferença é o login:

- `https://mcp.ecoa.dev/api/mcp/public` — **sem conta nenhuma**. Expõe só a verificação pública de um domínio: um
  assistente conectado roda o scan e lê o resultado sem a pessoa ter cadastro.
- `https://mcp.ecoa.dev/api/mcp` — **com login**. Na primeira conexão o cliente abre o navegador para a pessoa
  entrar na conta ecoa e autorizar (OAuth 2.1); daí em diante são as 25
  ferramentas completas — rodar a análise técnica, ler feedbacks, obter o plano de correção de cada
  achado, validar titularidade, publicar versões. Uma chave de API (`ecoa_sk_...`, gerada no
  perfil) continua valendo como alternativa para ambiente sem navegador.

Instalação no Claude Code:

```
claude mcp add --transport http ecoa https://mcp.ecoa.dev/api/mcp
```

Configuração para Claude Desktop, Cursor e afins:

```json
{
  "mcpServers": {
    "ecoa": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.ecoa.dev/api/mcp"]
    }
  }
}
```

Guia completo, com os blocos para cada cliente e os links de instalação em um clique:
https://ecoa.dev/conectar-ia

## Páginas principais

- [Verificação gratuita de segurança](https://ecoa.dev/scan): cole a URL, sem cadastro.
- [Conectar sua IA (MCP)](https://ecoa.dev/conectar-ia): instalar o servidor MCP no seu assistente.
- [Análise de segurança e LGPD](https://ecoa.dev/seguranca): o que a ecoa verifica em segurança, código e conformidade.
- [Raio-X de APIs](https://ecoa.dev/raio-x-de-apis): inventário e teste dos endpoints do seu app.
- [Widget de feedback](https://ecoa.dev/widget-de-feedback): uma linha de código coloca um botão de feedback
  no seu site; a resposta chega com nota e página de origem.
- [Comunidade](https://ecoa.dev/comunidade): a troca de feedback entre devs — dê ecos, ganhe pontos, entre no Discord.
- [Como saber se o seu site está seguro](https://ecoa.dev/blog/como-saber-se-meu-site-e-seguro): o guia
  prático — as cinco camadas verificáveis de fora e as duas que exigem acesso ao código.
- [Blog](https://ecoa.dev/blog): segurança de apps feitos com IA, LGPD e lançamento nas lojas.
- [Central de Ajuda](https://ecoa.dev/help): guia passo a passo da plataforma.
- [Diretório de apps](https://ecoa.dev/directory): apps publicados na plataforma.

## Outros idiomas

- English: https://ecoa.dev/en
- Español: https://ecoa.dev/es

## Detalhes

- Versão completa deste arquivo: https://ecoa.dev/llms-full.txt
- E-mail: contato@ecoa.dev
- Site: https://ecoa.dev