Um agente de segurança que verifica o seu site e pergunta antes de corrigir

O que o agente de Segurança verifica

Quase toda a verificação é feita pelas verificações próprias do Briks, que leem seu site sempre da mesma forma e não custam créditos. O agente então lê só onde uma verificação aponta, decide se um achado é real e explica para você.

No código do seu site, ele procura chaves escritas em arquivos, alterações nos seus dados sem limite de frequência, registros de membros lidos sem verificar quem está pedindo, texto exibido como HTML bruto e chamadas a outros sites. Quanto às chaves, compara os nomes que o seu código lê com os nomes definidos em Settings → Secrets, nos dois sentidos, e nunca vê um valor.

No site publicado, ele verifica se todos os endereços respondem por https, quantos dias restam ao certificado, os cabeçalhos de segurança e arquivos que nunca deveriam poder ser baixados. Também olha arquivos no armazenamento público com nomes que parecem privados, como invoice ou passport, uma explosão repentina de envios de formulário e avisos conhecidos sobre os pacotes que seu site adiciona além dos que todo site já traz.

Para um site com contas ou pagamentos no código, conta quem tem Admin ou Staff e verifica as configurações de pagamento: modo de teste ou real, o segredo do webhook e pedidos com os quais nenhum pagamento coincidiu.

Cada achado em palavras simples, com um próximo passo

Os achados são agrupados por gravidade: urgente, alta, média e baixa. Cada um diz o que alguém poderia fazer, o que isso significa para o seu negócio e o que fazer em seguida.

O próximo passo é um entre três: algo que só você pode fazer, com o lugar onde fazer, como adicionar uma chave em Settings → Secrets, que não custa nada; uma correção que o Builder pode fazer, atrás de Fix it; ou Accept the risk, para algo com que você decidiu conviver.

Achados urgentes, como uma chave escrita em uma página ou um arquivo privado que qualquer pessoa pode baixar, chegam a você na hora: no sino e no Telegram, quando você o tiver conectado e ativado os achados urgentes de segurança. Os demais esperam o relatório semanal.

A correção sempre espera a sua aprovação

O Fix it mostra quanto uma alteração costuma custar em créditos e depois envia a correção para Waiting, seu e-mail e suas conversas, como toda alteração que um agente pede. Leia, mude as palavras, aprove ou recuse.

Quando você aprova, o Construtor faz a alteração, confere e publica como uma nova versão que você pode desfazer. Quando essa versão está no ar, as verificações rodam de novo, e o achado é marcado como corrigido assim que desaparece.

Correções de segurança nunca seguem sozinhas. Outros agentes podem ganhar o direito de agir sozinhos após cinco aprovações sem problemas de um mesmo tipo; este não pode, e as configurações dele dizem isso onde os outros têm o botão.

Aceite o risco uma vez, e ele continua aceito

Alguns achados vêm de algo que você escolheu. O agente nunca propõe desfazer o que você pediu: ele diz uma vez qual é o risco, e a decisão é sua.

Aceitar o risco guarda a sua escolha com o seu nome e a data, e o agente não volta a tocar no assunto, a menos que piore.

O que ele nunca faz

Ele nunca altera o seu site por conta própria e nunca pede, lê nem repete o valor de uma chave: trabalha apenas com nomes de chaves.

Ele nunca tenta invadir. No site publicado, faz apenas os pedidos simples que o navegador de um visitante faz, no máximo 25 por verificação, aos endereços do próprio site. Ele conta os registros dos seus clientes em vez de lê-los um a um.

Quando roda e quanto custa

Após cada publicação, as verificações de código e de chaves rodam na versão que acabou de ir ao ar, sem custo. O agente só acorda quando elas encontram algo novo, ou quando uma correção que ele pediu já foi publicada e precisa ser conferida.

Toda segunda-feira às 07:00, no fuso horário do seu espaço de trabalho, ele roda o conjunto completo, site no ar incluído, e escreve um relatório curto. Também responde quando você escreve para ele na conversa dele.

O que ele gasta é a leitura e a escrita para explicar um achado e redigir uma correção, pagas com os créditos do seu espaço de trabalho dentro de um orçamento mensal próprio: 20 créditos por padrão. Ele pede no máximo duas correções por execução, as mais graves primeiro, e cada correção é uma mudança normal com a sua própria estimativa de créditos.