Como o diagnóstico funciona

O que o grátis observa

26 checagens passivas, sem exploração e sem payload ofensivo.

• Homepage em HTTP e HTTPS (GET/HEAD): status, redirecionamento e cabeçalhos.
• Handshake TLS na porta 443: validade do certificado, emissor e versão do protocolo.
• Cabeçalhos visíveis na resposta (cadeado forçado, política de scripts, cookies, CORS, quadro, tipo de arquivo, referrer).
• HTML público da home: arquivos http:// misturados, padrões de segredo, e-mail/CPF visível, rastreador de terceiro e sinais de privacidade (LGPD).
• Cabeçalhos extras de isolamento (COOP/COEP) e qualidade da política de scripts quando ela existe — não só “ausente”.
• Lista fechada de caminhos internos conhecidos (por exemplo /.env, /.git, wp-login, /graphql, /package.json) — só se estão abertos; o laudo não reproduz o segredo.
• robots.txt e sitemap.xml: existência e se o robots aponta pasta interna.
• Até 4 JavaScripts same-origin citados no HTML, procurando padrão de segredo (sem usar o valor).
• Presença de /.well-known/security.txt (informativo, não pesa no score).

O que não entra no self-serve

• Login, sessão autenticada ou área logada — salvo no plano Cyber Autenticado, com conta de teste e checkbox.
• Explotação, PoC, fuzzing, força bruta ou scanner de ataque.
• Lab white-box de LLM (Garak/PyRIT), jailbreak, red team de prompts ou campanha de phishing — contrato.
• Site de terceiro ou de concorrente.
• Pentest humano, red team clássico ou correção em código (orçamento com especialista).

Como a nota é calculada

Nota 0–100: começa em 100 e desconta por ponto que falhou (crítico 25, alto 15, médio 8, baixo 3, informativo 0). Grau A ≥ 90, B ≥ 75, C ≥ 60, D ≥ 40, E abaixo disso.

Quando existe área logada

O plano Cyber Autenticado observa o visitante anônimo, monta o mapa de superfície, faz OSINT público do hostname e consulta avisos da stack fingerprintada. Você descreve o que quer investigar. Um agente com ferramentas (goto, snapshot, follow, login, probe_api, stop) abre o site, tenta a conta de teste (uma vez) e faz GET same-origin nas APIs /api/ do JavaScript — sem token e, se entrar, com a sessão. Sem explotação. Se o login falhar, o probe sem token ainda roda; a nota não cobre a área logada.

O ciclo autenticado observa

• Um agente abre o site de verdade (até 20 passos): goto, snapshot da página, follow same-origin, um login de teste se você autorizar, e probe_api (GET /api/ sem token; segundo GET com sessão se entrou). Senha não entra no laudo.
• Escopo que você escreveu na compra: o agente prioriza cadastro, login, dashboard e as rotas citadas.
• Prova de controle do link (verify-link) antes do ciclo ativo; hosts da casa têm bypass.
• Se entrar: páginas logadas, cookie de sessão, CSRF visível, headers logado vs anônimo, erro verboso, debug, listing, CORS * em /api, mixed content, logout, autocomplete, regex de segredo, /admin 200, playground GraphQL no GET, GET nas APIs do JS com e sem token.
• Se não entrar: o laudo lista o que o agente visitou como anônimo (landing, login, rotas JS). O GET sem token nas APIs do JS ainda roda. Prova de visita, não de sessão.
• Mapa de superfície mesmo sem login: links, rotas extraídas do JS same-origin, sitemap, APIs mencionadas (lista + GET/HEAD observacional, sem fuzz).
• Inventário observacional: superfície de IA detectada? (sinais públicos de chat/API de modelo — sim/não + evidência). Sem teste de prompt.
• Reobservação (segundo GET/HEAD) de achados de exposição antes de consolidar a nota.
• OSINT público do hostname: DNS, certificado, security.txt, robots, nomes em Certificate Transparency (crt.sh). Subdomínio de terceiro não é visitado.
• Lookup de avisos (OSV) só da tech já fingerprintada (generator, /_next/, WordPress, X-Powered-By). Sem PoC no host.
• Checagens observacionais fechadas: cookie de sessão, CSRF visível, headers logado vs anônimo, erro verboso, debug, listing, CORS * em /api, mixed content, logout, autocomplete, regex de segredo, /admin 200, playground GraphQL no GET.

O ciclo autenticado não faz

• Explotação, PoC, SQLmap, Nuclei ofensivo, fuzzing de injeção, força bruta.
• Garak, PyRIT, suites de jailbreak, adversarial ML, phishing LLM ou deepfake drill.
• Redirect para outro domínio (bloqueado).
• Pentest humano, red team, correção em código — orçamento com especialista (ofertas Lab LLM/Agentic e Campanha awareness IA).