Forja Auditoria
Como a Forja confere se o seu sistema está seguro
Onze verificações diferentes, uma nota de 0 a 100 e a correção sugerida para cada problema. A verificação roda dentro da sua empresa, e nenhum trecho de código vai para a nuvem.
A conversa que abre o trabalho é sem custo. Retorno em até 2 dias úteis.
- 01
Você descreve o sistema
Num arquivo simples, você diz o que existe: os endereços das páginas e da API, o banco de dados e as pastas. Não precisa mudar nada no código.
- 02
A Forja roda dentro da sua empresa
Ela acessa o sistema como um visitante faria, confere as respostas, consulta o banco e lê os arquivos, tudo na sua máquina ou no seu servidor.
- 03
Você recebe nota e correção
Uma nota de 0 a 100, os problemas em linguagem clara, ordenados por severidade, e a correção sugerida para cada um.
O que atravessa a sua rede
O que sai da sua máquina
Só o resultado, num arquivo pequeno.
- Nome da verificação
- Categoria e severidade
- A mensagem gerada pelo próprio motor
- A nota
O que nunca sai
Nada disso entra no que a auditoria transmite.
- Código-fonte
- Dados do banco
- Credenciais e variáveis de ambiente
- Conteúdo de qualquer arquivo
Uma ressalva honesta: quando o relatório de correção é gerado, o caminho do arquivo a corrigir é transmitido ao modelo de linguagem. Isso expõe a estrutura de diretórios do projeto. Preferimos que você saiba disso por aqui, e não descobrindo depois.
O que a Forja inspeciona
10 verificações com peso na nota, mais os recursos que trabalham fora dela. Agrupados por onde a falha costuma nascer.
Código
O que está escrito no repositório
- ArquivosSenha ou chave esquecida no código, arquivo de configuração exposto, permissão errada, registro de depuração esquecido
- DependênciasBiblioteca vulnerável ou desatualizada
- RegressãoO que funcionava e parou de funcionar
Aplicação
O sistema respondendo de verdade
- Segurança (OWASP)Proteções do navegador, quem pode chamar o sistema de fora, invasão pelo formulário, descoberta de usuário, limite de tentativas, senha fraca, erro que mostra demais
- APISe cada endereço responde o que deveria, pede login quando precisa e recusa dado errado
- InterfaceNavegação, formulário, responsividade, link quebrado
- DesempenhoQuanto o sistema demora para responder, no caso normal e nos piores, e quantos acessos aguenta ao mesmo tempo
- FormuláriosMétodo, destino e envio de cada formulário, lidos sem enviar dado nenhum
Dados
Onde a LGPD é decidida
- LGPDDado pessoal criptografado, consentimento, exclusão, portabilidade
- Banco de dadosA estrutura das tabelas, as regras que impedem dado inválido e as mudanças feitas no banco
- Regras de acesso (RLS)Se um usuário consegue ver ou alterar dado de outro
Correção
Depois de encontrar, resolver
- Cruzamento de achadosJunta o que verificações diferentes encontraram: um problema visto de dois lados vale mais que dois alarmes soltos
- Trava da correçãoNenhuma correção é aplicada ao sistema sem autorização, dada por uma permissão de escrita que expira em minutos
- Ambiente isoladoAs verificações podem rodar num ambiente separado e descartável. Usar esse ambiente para confirmar a correção sugerida é etapa futura, ainda não feita
A verificação pela internet funciona com sistema escrito em qualquer linguagem de servidor. O plano de testes já conhece 18 tecnologias, a leitura do código cobre PHP, Python, JavaScript, TypeScript e SQL, e há 113 modelos de correção para 12 tecnologias. As dependências são conferidas em npm, PyPI e Packagist, e o banco de dados em PostgreSQL e MySQL.
A nota de segurança (Shield Score)
As seis camadas que decidem se um sistema aguenta o primeiro contato com o mundo real.
- Autenticação
- Cabeçalhos de proteção
- Regras de acesso aos dados
- Conformidade LGPD
- Proteção de segredos
- Limite de tentativas
Duas evidências, ou a camada não conta
Uma camada só é declarada protegida quando duas verificações independentes passam. É decisão deliberada contra falso positivo: scanner que aprova com um sinal só produz relatório bonito e sistema exposto.
A nota e o que ela autoriza
- 90 a 100ExcelentePode publicar
- 75 a 89BomPublicar com ressalvas
- 50 a 74AtençãoCorrigir antes de publicar
- 0 a 49CríticoNão publicar
A auditoria não é feita por inteligência artificial
Detecção
programadaO sistema é acessado de verdade, as respostas são conferidas, o banco é consultado e os arquivos são lidos. O resultado se repete igual toda vez e dá para conferir, sem adivinhação.
Relatório de correção
etapa separadaAqui, sim, um modelo de linguagem ajuda a explicar o achado em português claro: o cenário de ataque, o código antes e depois, a classificação da falha.
Quem encontra o problema é a verificação programada. A IA só explica o resultado.
O relatório de correção tenta primeiro um modelo local, na infraestrutura da Forja, sem passar por terceiros. Na versão do motor em uso hoje, os provedores externos entram quando ele não responde, e recebem só o resultado do motor, nunca trecho de código. Na versão 0.26.0, já pronta no código e ainda não em uso, o padrão passa a ser só o modelo local: sem ele, o relatório sai com as correções que a própria Forja escreveu.
Contra o que a Forja compete
| Critério | Forja | - | - | - |
|---|---|---|---|---|
| Verifica dentro do seu ambiente | Sim | Não | Parcial | Não |
| Conformidade LGPD nativa | Sim | Não | Não | Não |
| Corrige e testa a correção isolada | Parcial | Não | Não | Parcial |
| Verifica qualquer linguagem de servidor | Sim | Não | Sim | Sim |
| Origem e suporte nacionais | Sim | Parcial | Não | Não |
As três colunas sem nome são plataformas líderes de segurança de software, avaliadas em 2026. Preferimos comparar o que cada uma entrega a apontar concorrente pelo nome. A Forja sugere a correção, mas ainda não a testa no ambiente isolado, por isso aparece como parcial nessa linha.
O que a medição mostrou
Testamos a ferramenta de auditoria por IA mais conhecida do mercado em dois projetos reais. A taxa de acerto de fato ficou entre 14% e 30%, contra os mais de 90% anunciados. O método dela exige enviar um documento completo de requisitos e permitir a varredura do projeto, com os dados indo para servidor no exterior.
Benchmark próprio da Forja, 2 projetos reais, 2026
Onde a Forja está hoje
O motor está em TRL 5, o nível 5 de uma régua de 1 a 9 que mede o quanto uma tecnologia está pronta: protótipo funcionando e validado em sistemas reais. Três componentes de pesquisa estão em TRL 3 e serão maturados durante a incubação.
- Motor baseTRL 5
11 verificações funcionando e 2.867 testes automatizados garantindo o funcionamento. Contado no código do motor v0.26.0, em 09/10/2026.
- ASVMTRL 3
Análise semântica: entender o que o código faz, em vez de comparar com uma lista de padrões conhecidos
- MCNATRL 3
Conformidade que se atualiza sozinha: ler a norma nova e transformá-la em verificação automática
- MIPSTRL 3
Predição: avisar que um sistema vai ficar inseguro nas próximas semanas, antes que fique
A Forja ainda não opera comercialmente. A entrada no mercado é o objetivo do programa de incubação na Agência Marandu.
Comece pelo diagnóstico
O Diagnóstico Inicial mostra o que está exposto e em que ordem corrigir. A conversa inicial é sem custo.
Marcar diagnósticoPrefere conversar agora? Chamar no WhatsApp
Retorno em até 2 dias úteis.