O que testamos: 20 verificações

BOLA / IDOR

Objeto acessível trocando o ID na URL, sem checar dono no servidor.

Autenticação quebrada

JWT sem verificação, segredo fraco, token sem expiração ou chave no bundle.

Mass assignment

PATCH aceita role, plan ou createdAt e o cliente vira admin.

Consumo sem limite

Endpoint de IA ou de busca sem rate limit: custo e indisponibilidade.

BFLA

Rota de admin apenas escondida no front, sem checagem de função no servidor.

Fluxo de negócio

Preço vindo do cliente, cupom reutilizável, aprovação em duas etapas contornável.

SSRF

Feature que busca URL buscando a rede interna ou metadados da nuvem.

Má configuração

CORS aberto com credenciais, sourcemaps públicos, bucket gravável.

Inventário de endpoints

Versão antiga da API ainda no ar, rota de debug e endpoint esquecido.

Consumo inseguro

Webhook sem verificação de assinatura e resposta de terceiro tratada como confiável.

Chave de administrador no bundle

Chave de administrador do banco encontrada no JavaScript público.

Isolamento por registro

Cada tabela exposta na API testada com a chave pública real.

Regras do banco

Leitura e escrita anônimas testadas direto na API do banco.

Sourcemaps públicos

Código-fonte e comentários expostos via .map em produção.

Segredos no bundle

Tokens de pagamento, IA e repositório procurados por prefixo e entropia.

Headers de segurança

CSP, HSTS, nosniff, frame-ancestors e Referrer-Policy conferidos.

CORS com credenciais

Origem hostil testada contra Access-Control-Allow-Origin e credenciais.

Rotas internas sem auth

Rotas de API e ações de servidor chamadas sem sessão para ver o que responde.

Pacotes alucinados

Dependência inexistente ou typosquatted sugerida pela IA no lockfile.

Validação server-side

Schema aplicado no servidor, não só no formulário do cliente.