secrets01
Segredos expostos
Chaves de API e tokens de serviço no front-end, no repositório ou em logs. Basta abrir o DevTools.
Segurança de aplicações · DevSecOps · DevOps
Seu código foi escrito rápido.
Agora ele precisa ser seguro.
Auditoria de segurança, pentest e DevSecOps para empresas que constroem software com IA, e para as que ainda não. Encontro as falhas antes de um atacante, entrego a correção e deixo o pipeline impedindo que elas voltem.
- NDA antes de qualquer acesso
- Relatório executivo e técnico
- Reteste incluído
Metodologia alinhada a
- OWASP Top 10
- OWASP ASVS
- OWASP API Security
- OWASP Top 10 for LLM
- CVSS
- CWE
- CIS Benchmarks
- LGPD
O problema
A IA acelera a entrega. As vulnerabilidades acompanham.
Cursor, Copilot, Lovable e Bolt geram código que funciona na demonstração. Funcionar, porém, não significa estar seguro, e os mesmos padrões de falha se repetem de projeto para projeto.
authz02
Controle de acesso quebrado
RLS desativado, rotas que confiam no ID enviado pelo cliente e permissões verificadas apenas na interface.
supply-chain03
Dependências inseguras
Pacotes sugeridos que não existem e podem ser registrados por atacantes, versões com CVEs conhecidas, lockfile ignorado.
llm04
Aplicações com LLM
Prompt injection, vazamento de dados pelo contexto e agentes com mais permissões do que precisam.
misconfig05
Configuração padrão em produção
Modo debug ativo, CORS aberto, buckets públicos e cabeçalhos de segurança ausentes.
ops06
Nenhuma visibilidade operacional
Deploy manual, logs espalhados, backup nunca testado e nenhum alerta quando algo sai do normal.
Serviços
Da revisão de código à infraestrutura em produção
Segurança e operação tratadas em conjunto, com achados que o seu time consegue corrigir, e não um relatório genérico de scanner.
Principal
AppSec · IA
Auditoria de segurança de aplicações desenvolvidas com IA
Revisão de código e testes na aplicação em execução, direcionados às falhas que ferramentas de IA costumam introduzir. Indicada antes de lançar, de captar investimento ou de abrir a aplicação para clientes.
- Revisão manual de código, com SAST, SCA e varredura de segredos
- Autenticação, autorização, RLS e isolamento entre clientes
- Configuração de BaaS (Supabase, Firebase) e da nuvem
- Achados com prova de conceito e correção recomendada
- Relatório executivo para a gestão e técnico para o time
- Reteste após as correções
Pentest
Pentest de aplicações web e APIs
Teste de invasão manual guiado por OWASP Top 10, API Security e ASVS, em aplicações construídas com ou sem IA. Black, grey ou white box, conforme o escopo.
- Aplicações web, SPAs e APIs REST e GraphQL
- Lógica de negócio, IDOR, SSRF e injeções
- Severidade por CVSS e evidências reproduzíveis
LLM
Segurança de aplicações com LLM e agentes
Avaliação de chatbots, pipelines RAG e agentes com base no OWASP Top 10 for LLM Applications: o que o modelo pode ver, dizer e executar.
- Prompt injection direta e indireta
- Vazamento de dados e do system prompt
- Permissões de ferramentas e ações do agente
DevSecOps
Segurança no pipeline de CI/CD
Controles automatizados para que a próxima vulnerabilidade seja barrada no pull request, e não descoberta em produção.
- SAST, SCA, secret scanning e SBOM no pipeline
- Proteção de branches e revisão obrigatória
- Gestão de segredos fora do repositório
DevOps
Infraestrutura, deploy e operação
Infraestrutura reproduzível, deploy automatizado e visibilidade sobre o que acontece em produção.
- Containers, Docker Swarm e orquestração
- CI/CD e infraestrutura como código
- Hardening, backup, monitoramento e alertas
Para quem
Empresas que colocam software em produção
Startups e SaaS
MVP construído com IA indo para clientes pagantes, due diligence ou rodada de investimento.
Software houses e agências
Validação independente de segurança antes de entregar ao cliente final.
Times internos
Ferramentas internas criadas com IA, muitas vezes por quem não é desenvolvedor.
Empresas sujeitas à LGPD
Quem trata dados pessoais e precisa demonstrar diligência técnica.
Metodologia
Escopo definido, teste autorizado, correção verificada
Um processo previsível, do primeiro contato ao reteste.
- 01
Escopo e autorização
Conversa técnica, NDA e documento de autorização com alvos, janelas de teste e limites.
- 02
Avaliação
Revisão de código e testes na aplicação e na infraestrutura, dentro do escopo acordado.
- 03
Relatório
Achados priorizados por risco, com evidência, impacto e recomendação. Apresentação ao time.
- 04
Correção e reteste
Apoio na correção, reteste dos achados e controles no CI para evitar regressões.
O que você recebe
- Relatório executivo com o nível de risco em linguagem de negócio
- Relatório técnico com evidências, impacto e passos de reprodução
- Recomendação de correção para cada achado
- Apresentação dos resultados ao time técnico
- Reteste com registro do status final de cada achado
- Regras de CI para evitar regressões, quando aplicável
Quem conduz
Atendimento direto com quem executa o trabalho
Leno Seibert
Fundador · Segurança de aplicações e DevOps
Mais de nove anos em tecnologia, atuando com infraestrutura, automação, desenvolvimento e segurança de sistemas em produção. Na MKTSYS, cada projeto é conduzido de ponta a ponta pela mesma pessoa, do escopo ao reteste.
- anos em tecnologia
- 9+
- certificações técnicas
- 15+
- projetos entregues
- 150+
Achados validados manualmente
Nada de listas de falsos positivos: cada achado é confirmado e acompanhado de evidência.
Correção, não só diagnóstico
Recomendações específicas para o seu stack e apoio na implementação quando necessário.
Segurança e operação juntas
Quem testa também entende de deploy, infraestrutura e CI/CD, e corrige na origem.
Confidencialidade primeiro
NDA, acessos temporários e descarte dos dados do projeto ao final do trabalho.
Contratação
Três formas de trabalhar juntos
Escopo e investimento definidos antes do início. Sem surpresas no meio do caminho.
Avaliação rápida
Uma visão objetiva do risco antes de decidir o próximo passo.
- Revisão focada nos pontos mais críticos
- Varredura automatizada com análise manual
- Relatório curto com prioridades
- Preço fixo
Recomendado
Auditoria e pentest completos
Escopo fechado, do teste ao reteste.
- Revisão de código e pentest da aplicação
- Relatório executivo e técnico
- Apresentação dos achados ao time
- Reteste incluído
Segurança e DevOps contínuos
Horas mensais para quem entrega software toda semana.
- Revisão de segurança de novas funcionalidades
- Manutenção do pipeline e da infraestrutura
- Monitoramento e resposta a alertas
- Pacotes mensais de horas
Todo trabalho começa com uma conversa técnica sem custo e só é executado com autorização formal por escrito.
Perguntas frequentes
Antes de começar
Vocês testam sem autorização?
Não. Todo teste é feito somente com autorização formal do responsável pelo sistema, com alvos, janelas de horário e limites definidos por escrito.
Os testes podem afetar a produção?
Sempre que possível, os testes são feitos em homologação. Em produção, acontecem em janelas combinadas, sem ataques de negação de serviço e com um ponto de contato para interrupção imediata.
Meu código e meus dados ficam protegidos?
O NDA é assinado antes de qualquer acesso. Os acessos são temporários, dados de teste são preferidos e o material do projeto é descartado ao final, conforme combinado.
A aplicação não foi feita com IA. Ainda faz sentido?
Sim. A metodologia vale para qualquer aplicação; o foco em código gerado por IA apenas acrescenta verificações específicas para os erros que essas ferramentas repetem.
Vocês corrigem ou só apontam os problemas?
Os dois. O relatório traz a correção recomendada para cada achado e, se fizer sentido, a implementação da correção e o reteste entram no escopo.
Quanto tempo leva e quanto custa?
Depende do tamanho e da complexidade da aplicação. Uma avaliação rápida costuma levar poucos dias; auditorias e pentests completos são dimensionados no escopo, com prazo e investimento definidos na proposta.
Contato
Conte o que precisa ser avaliado
Retorno com as próximas etapas e, se fizer sentido, agendamos uma conversa técnica sem custo.
Contato direto