O raio-X do seu app,antes que alguém encontre

Abrimos cada página num navegador e só lemos quando ela terminou de carregar de verdade: rede parada, DOM estável, animações concluídas. Nada de adivinhar pela palavra “carregando”.

Mapeamos o que qualquer visitante alcança e, com a sua sessão, o que só existe depois do login. É a diferença entre fotografar a fachada e entrar na casa.

Registramos o que o seu app realmente chamou: método, host, template do caminho e sinalizações (autenticada, de escrita, com dado sensível). Se você publica OpenAPI/Swagger, lemos o contrato declarado também.

Quando encontramos muitas páginas com a mesma forma (produtos, posts, perfis), perguntamos se é catálogo e colapsamos numa linha só. Testar o mesmo molde trezentas vezes não mede nada a mais e não come a sua cota.

Além dos links, partimos do seu sitemap.xml e do robots.txt. E o prefixo de idioma (/pt-BR/…) não colapsa o site inteiro numa rota só.

O mapeamento salva a cada 10 páginas. Se estourar o tempo, você não perde o que já foi descoberto.

Você loga uma vez dentro de um navegador remoto, resolvendo MFA, modal e desafio anti-bot como humano. Guardamos só a sessão, cifrada. A sua senha nunca é armazenada.

A sessão é lida das quatro superfícies, incluindo cookies httpOnly. Funciona com login por modal, duas etapas ou provedor externo.

Cadastre “Admin”, “Cliente free”, “Cliente pago” uma vez e reaproveite em toda análise, com o status da sessão sempre visível.

É o único jeito de ver o que a conta de um cliente alcança dentro dos dados de outro. Um login no plano Básico, dois no Pro, três no Premium.

Navegamos cada página com a sua sessão e registramos o que aconteceu: o status, onde a navegação parou e se veio conteúdo real ou tela de login.

Em todas as páginas escolhidas: CSP, HSTS, X-Frame-Options e frame-ancestors, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, isolamento cross-origin e exposição de Server/X-Powered-By.

Procuramos chave de serviço, chave de administrador, token de storage e chave de pagamento vazados no bundle. Guardamos a evidência mascarada: a origem, nunca o valor.

RLS desligada, catálogo público, bucket aberto, Firestore e Realtime Database abertos, coleção pública, introspecção de GraphQL ligada.

Sondamos /.env, appsettings.json, config.json e afins, com três guardas contra falso positivo para não chamar de vazamento a página de erro do seu framework.

Duas contas, o mesmo identificador: um usuário alcança o dado do outro? É a prova definitiva de vazamento entre clientes, e exige dois logins.

Chave secreta vazada, sandbox rodando em produção, valor definido pelo cliente, confirmação no navegador e falta de idempotência. Nunca completamos uma compra nem tocamos em cartão real.

Varredura com o corpus do nuclei: 10.518 templates, mais cerca de 249 específicos de aplicação web. Roda só com a titularidade validada e o seu aceite explícito.

DNS (DNSSEC, CAA, subdomínio órfão) e vencimento do domínio, SPF/DKIM/DMARC, validade do certificado TLS e redirecionamento HTTPS, SEO técnico, busca por IA e conformidade com a LGPD.

Capa, veredito de risco, sumário executivo, nota de prontidão, distribuição por severidade, nota por página e cada achado numerado com evidência, como corrigir e referência OWASP/CWE. Pronto para imprimir ou mandar para o cliente.

A árvore do seu site com nota por página e cobertura por scanner, mais as abas de APIs, BaaS, domínio, pagamentos, resultados e execuções.

Adicione páginas à mão, dispare um mapeamento a partir de uma página específica, marque o que não é relevante, exclua o que não interessa e rotule cada página (Login, Pagamento, Formulário com dados pessoais, Admin, Protegida).

Uma nota por página e uma do app inteiro, com os problemas ordenados por risco. O que corrigir primeiro fica no topo.

Conecte o ecoa ao Cursor, ao Claude ou a outro assistente pelo nosso servidor MCP: ele lê os achados e recebe o guia de correção junto, com as travas que impedem um “conserto” que quebra o seu app.

E por quê. Varredura parcial nunca vira “seu site está limpo”. Server Action detectada, por exemplo, é reportada como não testada, jamais como aprovada.

A tela de revisão lista cada teste da fila, o que ficou de fora e por quê. O que está bloqueado não é uma escolha, é uma explicação.

Linha a linha, com o endereço de cada página conforme ela é analisada. Pode deixar rodando e ir tomar um café.

Toda execução guarda o que foi pedido, o que rodou, quanto demorou e quantos achados saíram. Dá para comparar com a execução anterior.