Forja Auditoria

Como a Forja confere se o seu sistema está seguro

Onze verificações diferentes, uma nota de 0 a 100 e a correção sugerida para cada problema. Tudo roda dentro da sua empresa: o código não sai de lá.

Marcar diagnóstico

A conversa que abre o trabalho é sem custo. Retorno em até 2 dias úteis.

01
Você descreve o sistema
Num arquivo simples, você diz o que existe: os endereços das páginas e da API, o banco de dados e as pastas. Não precisa mudar nada no código.
02
A Forja roda dentro da sua empresa
Ela acessa o sistema como um visitante faria, confere as respostas, consulta o banco e lê os arquivos, tudo na sua máquina ou no seu servidor.
03
Você recebe nota e correção
Uma nota de 0 a 100, os problemas em linguagem clara, ordenados por severidade, e a correção sugerida para cada um.

O que atravessa a sua rede

O que sai da sua máquina

Só o resultado, num arquivo pequeno.

Nome da verificação
Categoria e severidade
A mensagem gerada pelo próprio motor
A nota

O que nunca sai

Nada disso é transmitido, em nenhuma etapa.

Código-fonte
Dados do banco
Credenciais e variáveis de ambiente
Conteúdo de qualquer arquivo

Uma ressalva honesta: quando o relatório de correção é gerado, o caminho do arquivo a corrigir é transmitido ao modelo de linguagem. Isso expõe a estrutura de diretórios do projeto. Preferimos que você saiba disso por aqui, e não descobrindo depois.

O que a Forja inspeciona

10 verificações com peso na nota, mais os recursos que trabalham fora dela. Agrupados por onde a falha costuma nascer.

Código

O que está escrito no repositório

ArquivosSenha ou chave esquecida no código, arquivo de configuração exposto, permissão errada, registro de depuração esquecido
DependênciasBiblioteca vulnerável ou desatualizada
RegressãoO que funcionava e parou de funcionar

Aplicação

O sistema respondendo de verdade

Segurança (OWASP)Proteções do navegador, quem pode chamar o sistema de fora, invasão pelo formulário, descoberta de usuário, limite de tentativas, senha fraca, erro que mostra demais
APISe cada endereço responde o que deveria, pede login quando precisa e recusa dado errado
InterfaceNavegação, formulário, responsividade, link quebrado
DesempenhoQuanto o sistema demora para responder, no caso normal e nos piores, e quantos acessos aguenta ao mesmo tempo
FormuláriosMétodo, destino e envio de cada formulário, lidos sem enviar dado nenhum

Dados

Onde a LGPD é decidida

LGPDDado pessoal criptografado, consentimento, exclusão, portabilidade
Banco de dadosA estrutura das tabelas, as regras que impedem dado inválido e as mudanças feitas no banco
Regras de acesso (RLS)Se um usuário consegue ver ou alterar dado de outro

Correção

Depois de encontrar, resolver

Cruzamento de achadosJunta o que verificações diferentes encontraram: um problema visto de dois lados vale mais que dois alarmes soltos
Trava da correçãoA correção sugerida passa por uma conferência antes de ser liberada
Teste isoladoA correção é testada numa cópia descartável, nunca direto no seu sistema

O motor é agnóstico à linguagem: opera sobre HTTP, DOM e SQL, não sobre a sintaxe. Já foi aplicado a PHP, Python, JavaScript, React e WordPress.

A nota de segurança (Shield Score)

As seis camadas que decidem se um sistema aguenta o primeiro contato com o mundo real.

Autenticação
Cabeçalhos de proteção
Regras de acesso aos dados
Conformidade LGPD
Proteção de segredos
Limite de tentativas

Duas evidências, ou a camada não conta

Uma camada só é declarada protegida quando duas verificações independentes passam. É decisão deliberada contra falso positivo: scanner que aprova com um sinal só produz relatório bonito e sistema exposto.

A nota e o que ela autoriza

90 a 100ExcelentePode publicar
75 a 89BomPublicar com ressalvas
50 a 74AtençãoCorrigir antes de publicar
0 a 49CríticoNão publicar

A auditoria não é feita por inteligência artificial

Detecção

programada

O sistema é acessado de verdade, as respostas são conferidas, o banco é consultado e os arquivos são lidos. O resultado se repete igual toda vez e dá para conferir, sem adivinhação.

Relatório de correção

etapa separada

Aqui, sim, um modelo de linguagem ajuda a explicar o achado em português claro: o cenário de ataque, o código antes e depois, a classificação da falha.

Quem encontra o problema é a verificação programada. A IA só explica o resultado.

O relatório de correção tenta primeiro um modelo local, que roda na sua máquina. Os provedores externos só entram quando ele não está disponível, e nunca recebem o código.

Contra o que a Forja compete

Comparação da Forja com três plataformas líderes de DevSecOps, não identificadas, em cinco critérios
Critério	Forja	-	-	-
Funciona 100% local	Sim	Não	Parcial	Não
Conformidade LGPD nativa	Sim	Não	Não	Não
Corrige e testa a correção isolada	Sim	Não	Não	Parcial
Funciona com qualquer tecnologia	Sim	Não	Sim	Sim
Origem e suporte nacionais	Sim	Parcial	Não	Não

As três colunas sem nome são plataformas líderes de segurança de software, avaliadas em 2026. Preferimos comparar o que cada uma entrega a apontar concorrente pelo nome.

O que a medição mostrou

Testamos a ferramenta de auditoria por IA mais conhecida do mercado em dois projetos reais. A taxa de acerto de fato ficou entre 14% e 30%, contra os mais de 90% anunciados. O método dela exige enviar um documento completo de requisitos e permitir a varredura do projeto, com os dados indo para servidor no exterior.

Benchmark próprio da Forja, 2 projetos reais, 2026

Onde a Forja está hoje

O motor está em TRL 5, o nível 5 de uma régua de 1 a 9 que mede o quanto uma tecnologia está pronta: protótipo funcionando e validado em sistemas reais. Três componentes de pesquisa estão em TRL 3 e serão maturados durante a incubação.

Motor baseTRL 5
11 verificações funcionando e 2.853 testes automatizados garantindo o funcionamento. Motor v0.25.0, contado em 26/09/2026.
ASVMTRL 3
Análise semântica: entender o que o código faz, em vez de comparar com uma lista de padrões conhecidos
MCNATRL 3
Conformidade que se atualiza sozinha: ler a norma nova e transformá-la em verificação automática
MIPSTRL 3
Predição: avisar que um sistema vai ficar inseguro nas próximas semanas, antes que fique

A Forja ainda não opera comercialmente. A entrada no mercado é o objetivo do programa de incubação na Agência Marandu.

Comece pelo diagnóstico

O Diagnóstico Inicial mostra o que está exposto e em que ordem corrigir. A conversa inicial é sem custo.