Procure brechas de segurança no seu app
ResumindoAbra Segurança e clique em Executar verificação de segurança. Em um ou dois minutos, o MonstarX confere seu código com 33 regras, sonda o app em execução como um desconhecido e coloca uma IA para ler o app inteiro. Você recebe uma nota de A a F e uma lista de achados, do mais grave ao menos grave, cada um com onde está, por que importa e o que mudar. Escolha os que quer corrigir e o MonstarX corrige em uma criação normal e verifica de novo. Você pode baixar o resultado como relatório.
Apps feitos às pressas costumam confiar demais no navegador: uma função que qualquer pessoa pode chamar, um agendamento buscado pelo número sem conferir de quem ele é, um preço que vem da própria página. Invasores procuram exatamente essas brechas.
A aba Segurança lê seu app como um invasor leria, lista o que encontra começando pelo mais grave e ajuda você a corrigir. Pense nela como um pequeno teste de invasão (o famoso pentest: uma checagem de segurança em que alguém tenta invadir de propósito), embutido no MonstarX.
Como faço uma verificação de segurança?
Seção intitulada “Como faço uma verificação de segurança?”-
Abra seu projeto e clique em Segurança na barra superior.
-
Clique em Executar verificação de segurança. Leva um ou dois minutos.
-
Acompanhe as três partes terminando uma depois da outra. Você pode sair da aba: a verificação roda nos servidores do MonstarX e continua. Cancelar interrompe e mantém o que foi encontrado até ali.
O selo da aba Segurança na barra superior mostra um indicador girando enquanto a verificação roda e, depois, o número de achados em aberto (na cor do mais grave) ou um ponto verde quando não há nada em aberto. Para verificar de novo mais tarde, clique em Verificar novamente no topo da aba.
O que a verificação confere?
Seção intitulada “O que a verificação confere?”Uma verificação tem três partes:
| Parte | O que faz | Custo |
|---|---|---|
| Verificações de código | 33 regras aplicadas a cada arquivo do app: falta de checagem de login, registros alterados sem conferir quem é o dono, segredos escritos no código, consultas ao banco de dados montadas a partir de texto, HTML inseguro, uploads sem validação, webhooks não verificados e mais. | Gratuito |
| Sondas ao vivo | Solicitações somente leitura contra o app em execução, como um desconhecido sem conta: páginas que deveriam exigir login, rotas que respondem a qualquer um, acesso entre sites e, em um app publicado, cabeçalhos de segurança e arquivos que nunca deveriam ser servidos. | Gratuito |
| Revisão de IA | Um modelo de IA lê o app inteiro com os achados em mãos, confirma ou descarta cada um e procura o que só a leitura revela, como um preço aceito da página ou dados que uma página envia, mas nunca mostra. | Usa créditos, como uma solicitação no modo Conversar |
As sondas ao vivo usam o app publicado quando ele está no ar; caso contrário, usam a prévia. O resultado informa qual dos dois foi sondado.
O que são o OWASP Top 10 e o CWE?
Seção intitulada “O que são o OWASP Top 10 e o CWE?”A OWASP é uma organização sem fins lucrativos que publica o Top 10, a lista mais conhecida dos tipos mais graves de risco de segurança em apps web. Todo achado é classificado em um deles, para que você (ou um especialista em segurança) saiba que tipo de problema é:
| Em palavras simples | |
|---|---|
| A01 Controle de acesso quebrado | Alguém consegue ver ou alterar o que não é dele. |
| A02 Falhas criptográficas | Segredos ou códigos são guardados ou gerados de forma fraca. |
| A03 Injeção | Um texto digitado por alguém é executado como comando ou código. |
| A04 Design inseguro | A lógica do app pode ser explorada, como e-mails ou agendamentos grátis sem limite. |
| A05 Configuração incorreta de segurança | Configurações abertas demais, como a falta de cabeçalhos de segurança. |
| A06 Componentes vulneráveis e desatualizados | Software antigo com brechas conhecidas. |
| A07 Falhas de identificação e autenticação | Login ou controle de sessão fracos. |
| A08 Falhas de integridade de software e dados | Código ou dados de fora são aceitos sem conferência. |
| A09 Falhas de registro e monitoramento de segurança | Segredos vazam para os logs, ou ataques passam despercebidos. |
| A10 Falsificação de solicitação do lado do servidor | É possível fazer o app acessar endereços escolhidos por um invasor. |
O CWE (Common Weakness Enumeration) é um catálogo numerado de fraquezas específicas, como CWE-639: um registro buscado por um ID que o usuário controla. Cada achado traz o link da sua categoria OWASP e, quando existe, da página do CWE, para você se aprofundar.
Como leio os resultados?
Seção intitulada “Como leio os resultados?”No topo, você vê uma pontuação de 0 a 100 com uma nota de A a F, os achados em aberto por gravidade, o que foi verificado e sondado, quanto custou a revisão de IA e o resumo da revisão em poucas frases.
A pontuação começa em 100 e perde 40 pontos para cada achado Crítico, 15 para cada Alto, 5 para cada Médio e 1 para cada Baixo. A nota diz o que fazer em seguida:
| Nota | Pontuação | Significado |
|---|---|---|
| A | 90–100 | Nada grave encontrado. |
| B | 75–89 | Algumas coisas para ajustar. |
| C | 55–74 | Corrija os achados altos antes que mais pessoas usem o app. |
| D | 35–54 | Brechas sérias: corrija antes de publicar. |
| F | 0–34 | Do jeito que está, o app está exposto a ataques. |
Cada achado mostra a gravidade, o título, a categoria OWASP, o CWE, de onde veio (Verificação de código, Sonda ao vivo ou Revisão de IA), o grau de certeza da verificação (Confirmado, Provável ou Precisa de atenção) e o arquivo e a linha. Clique em um achado para abri-lo:
- O código ao redor da linha, com a linha destacada.
- O que está errado, Por que isso importa e O que mudar, em palavras simples.
- A observação da Revisão de IA: se ela confirmou o achado e como.
- Abrir no Código leva direto ao arquivo na aba Código.
Quando a revisão de IA acha que um achado é alarme falso, ela diz Revisão de IA: provavelmente não é um problema real. Esse achado continua na lista, no fim, mas não conta para a pontuação.
Abaixo da lista, O que foi verificado mostra todas as checagens que rodaram, agrupadas por categoria OWASP, com um visto, o número de achados ou o motivo de terem sido ignoradas.
Como corrijo o que foi encontrado?
Seção intitulada “Como corrijo o que foi encontrado?”-
Marque os achados que quer corrigir ou clique em Selecionar todos. Aparece um botão Corrigir 2 achados. Ele fica desativado enquanto uma criação está em andamento.
-
Clique nele. O MonstarX explica o que vai acontecer; clique em Corrigir 2 achados de novo.
-
Cada achado vira uma tarefa no seu plano de funcionalidades (Segurança: …; quando o plano está quase cheio, eles dividem uma única tarefa) e uma solicitação de criação vai para o chat, com um selo de Segurança. Ela roda como qualquer solicitação, guarda uma versão e o QA pode testar o app depois.
-
Quando a criação termina, a verificação roda de novo sozinha. Os achados que sumiram aparecem como resolvidos (2 corrigidos pelo agente). Um que continua lá volta marcado como Ainda presente após uma correção.
E se um achado não for um problema real?
Seção intitulada “E se um achado não for um problema real?”Abra o achado, clique em Deixar de lado e diga o motivo:
- Não é um problema real
- Risco aceito: você sabe do problema e aceita o risco.
- Tratado de outra forma
Um achado deixado de lado vai para a lista Deixados de lado e continua lá em todas as verificações seguintes, mesmo que outras partes do código mudem. Clique em Restaurar para colocá-lo de volta na lista.
Como baixo o relatório de segurança?
Seção intitulada “Como baixo o relatório de segurança?”Clique em Baixar relatório no fim dos resultados. Você recebe um arquivo Markdown (um documento de texto simples que abre em qualquer editor), com o nome do projeto, como paws-co-booking-security-report.md. Ele segue o formato de um relatório de teste de invasão:
- Escopo e método: quantas regras rodaram em quantos arquivos, o que foi sondado e o que a revisão de IA fez.
- Resumo: a pontuação, os achados em aberto por gravidade e o resumo da revisão.
- Achados: cada um com os links de OWASP e CWE, onde está, o código, o que está errado, por que importa e o que mudar.
- Resolvidos desde a última verificação e Deixados de lado pelo responsável, com os seus motivos.
- Verificações: cada checagem com o resultado.
É útil para compartilhar com um desenvolvedor, um cliente ou um auditor. O relatório fica disponível quando a verificação termina de rodar.
Perguntas frequentes
Seção intitulada “Perguntas frequentes”A verificação é gratuita?
As verificações de código e as sondas ao vivo são gratuitas. A revisão de IA usa créditos, como uma solicitação no modo Conversar, e os resultados mostram quanto ela custou. Corrigir achados usa créditos como qualquer criação.
Uma nota boa significa que meu app é seguro?
Nenhuma verificação pode garantir isso. Ela encontra o que as regras, as sondas e a revisão conseguem enxergar. Corrija primeiro os achados críticos e altos, verifique de novo e peça para uma pessoa revisar tudo o que lida com dinheiro ou dados pessoais antes que muita gente use o app.
Devo verificar antes ou depois de publicar?
Os dois. Verifique antes de publicar para pegar as brechas grandes. Verifique de novo quando o app estiver no ar: algumas checagens, como cabeçalhos de segurança e arquivos que nunca deveriam ser servidos, só rodam em um app publicado.
As pessoas com quem compartilho o projeto veem a verificação?
Não. Uma verificação aponta cada ponto fraco, então só o proprietário vê a aba Segurança.
A verificação confere o código de login e de banco de dados do próprio MonstarX?
Não. Essas partes são iguais em todos os apps e mantidas pelo MonstarX. A verificação confere o código escrito para o seu app e o app em execução.
O que acontece se uma criação estiver rodando quando eu iniciar a verificação?
A verificação espera a criação terminar (até 10 minutos), para conferir o código pronto.