Veja seu site como um atacante vê.
61 probes em sete camadas, toda semana, sem agente e sem tocar no seu servidor.
Cada achado vem com severidade, evidência técnica e o que fazer — em português. No fim, uma nota de A a F e o diff em relação à auditoria anterior.
Sem agente · não invasivo · você autoriza o domínio antes da auditoria
−6 pontos desde a auditoria anterior. 1 achado novo, 3 resolvidos.
Honestidade técnica
O que isto é, e o que não é.
É ASM externo: observação não-invasiva da superfície que o seu domínio expõe pra internet.
Não é pentest. Não exploramos vulnerabilidade, não fazemos brute-force, não tentamos contornar autenticação.
Pra teste de invasão você quer um pentester humano — e a gente ajuda apontando o que é óbvio antes de ele cobrar caro pra apontar o mesmo.
O papel do Sentinela é ver e avisar, não interceptar. Fail-safe e fail-loud: probe que falha vira achado informativo, nunca silêncio.
Três camadas, uma plataforma
Scanner para no olho. CTEM atravessa as três.
Detectar é a parte fácil. O que muda o jogo é traduzir o achado em risco com preço e fechar o ciclo até a correção.
Olhos
Descobrem o que existe.
54 probes PHP nativas, sem binário externo — rede, TLS, cabeçalhos, e-mail, exposição, LGPD e nuvem. Onde a indústria já resolveu, embrulhamos o que é bom: CVE templates, SAST, IaC.
Ver as 61 probes →Cérebro
Traduzem em risco com preço.
Nota técnica de A a F comparável entre alvos, mais risco contextual por criticidade de negócio, CISA KEV e EPSS — e exposição em R$/ano usando o downtime real do Uptime.
Ver scoring e risco financeiro →Braços
Fecham o ciclo até a correção.
Cada achado vira tarefa de remediação com responsável e prazo, MTTR por workspace, issue no Jira e break-the-build via SARIF no GitHub Actions. Não para no relatório.
Ver remediação e CI/CD →A maioria das ferramentas de ASM para no olho: entrega lista. O ciclo completo é o que conecta as três.
Como funciona
61 probes em 7 camadas distintas.
Segurança de site não é uma coisa só. Cada camada tem um conjunto de probes especializados que observam um aspecto diferente da superfície externa do seu domínio. São 49 que observam de fora sem você configurar nada, 9 opt-in (caixa-branca, dependências, Vercel e vazamento) e 3 OSINT liberadas por plano.
Camada 1 Rede & alcance 5 probes Como o alvo se apresenta na internet — DNS, portas abertas, reputação.
- DNS Saúde dos NS, propagação, consistência de registros e resolução.
- DNS Security CAA records (controle de emissão de certificados, MEDIUM se ausente) e AXFR zone transfer via TCP (CRITICAL se permitido — expõe toda a zona DNS).
- DNSSEC Verifica DNSSEC via DNS-over-HTTPS (Cloudflare DoH). Detecta domínios sem DS/DNSKEY (MEDIUM) ou com cadeia quebrada — DS presente mas AD bit ausente (HIGH).
- Portas (TCP) Scan TCP top-30 + banner grabbing. Gated por autorização explícita.
- Reputação Spamhaus DNSBL + Google Safe Browsing opcional.
Camada 2 Aplicação web 37 probes Como sua aplicação responde a um visitante (ou atacante).
- TLS / Certificado Versões (TLS 1.0/1.1 deprecated, TLS 1.3 missing), ciphers, expiração, hostname, signature, OCSP.
- Cabeçalhos HTTP HSTS (preload, includeSubDomains), CSP (unsafe-inline, wildcards, Trusted Types), COOP/COEP/CORP, redirect HTTPS, disclosure de versão.
- Cookies Secure, HttpOnly, SameSite, prefixos __Host-/__Secure- em cookies de sessão.
- Exposição de paths .env, .git, dumps, logs, lockfiles de dependência (composer.lock, package-lock.json, yarn.lock, pnpm-lock.yaml — versões exatas fixadas habilitam targeting preciso de CVE), OIDC discovery (/.well-known/openid-configuration), healthchecks (/actuator/health, /readyz), security.txt presença.
- Descoberta de arquivos sensíveis Pega vazamentos que o ExposureProbe não cobre por usar nomes não-previsíveis (dump_2026_xyz.sql, instance_db_hash.sql.gz). Detecta listagem de diretório aberta (autoindex Apache/nginx/IIS/Caddy) em 18 paths comuns de backup e cruza HTML/robots.txt/sitemap.xml em busca de links com extensão sensível. Valida via fingerprint (keywords SQL, magic bytes gzip/zip/SQLite, formato KEY=value em .env).
- Bundle JS Secrets em bundle, source maps públicos, libs vulneráveis (jQuery, Bootstrap, Vue 2, Moment.js), SRI ausente, mixed content, CSRF em forms POST.
- Source Leak Chaves PEM no HTML (CRITICAL), connection strings com credenciais (CRITICAL), credenciais em comentários HTML (HIGH), IPs RFC 1918 em scripts inline (MEDIUM). Filtra placeholders.
- Página de erro Stack trace exposto em 404/500: Laravel/Whoops, Symfony, Django, Rails, ASP.NET, Express.
- WordPress Versão, plugins (wordlist 250+, 100/scan), temas, XML-RPC, user enum, debug.log. CVE matching via Wordfence Intelligence — 100k+ vulns com CVSS, sync diário. Enriquecimento EPSS + CISA KEV automático.
- WP cron Saúde do wp-cron.php sem disparar o cron: 403 (agendamento trancado por WAF) vira MEDIUM; cron declarado desabilitado sem evidência de cron externo, HIGH.
- WP cache Heurística passiva nos headers da home — sem request extra. Nenhum header de cache (provável ausência de plugin) ou no-store na home viram MEDIUM.
- WP debug exposto /wp-content/debug.log legível vira CRITICAL. Marcadores de erro PHP no HTML (Notice:, Fatal error) e stack trace, HIGH. Conservador: não casa “warning”/“error” em prosa.
- WP indicadores de comprometimento Baseline conservadora de IOC no HTML da home: base64 contíguo ≥500 chars em script inline (MEDIUM), eval( inline (HIGH), meta refresh pra domínio de terceiro. Thresholds altos pra não punir GTM/analytics.
- Multi-CMS Drupal (CHANGELOG exposto, settings.php), Joomla! (manifest XML, /administrator/), Magento (/magento_version, admin path padrão). Checagens específicas por CMS.
- Malware Scan Crawl de até 10 páginas. Detecta JS ofuscado (eval/atob, Dean Edwards packer), conteúdo oculto com spam, iframes externos, forms com action hijacking, cloaking por User-Agent. Cruza URLs contra URLhaus + OpenPhish (~300k entradas, sync diário).
- API Surface OpenAPI/Swagger expostos, GraphQL introspection habilitada, field suggestions.
- GraphQL / JWT GraphQL Playground exposto, JWTs no corpo/cookie com alg:none (CRITICAL), expiração longa, claims sensíveis.
- Cloud Storage Detecta buckets S3, GCS e Azure Blob referenciados no HTML. Testa listagem pública (CRITICAL) ou registra como INFO se privado. Estende pra enumeração de buckets S3 (Pro+): wordlist de 20 sufixos sobre o eTLD+1 (-backup, -prod, -uploads…) testando listagem pública em paralelo, com dedupe contra os buckets já citados no HTML.
- CORS Wildcard com credentials, reflexão de Origin, null origin.
- Métodos HTTP TRACE habilitado, verbos sensíveis (PUT/DELETE sem autenticação).
- Confirmação ativa de XST Check ATIVO atrás do gate de autorização: envia TRACE/TRACK com um token único num header e confirma Cross-Site Tracing quando o servidor ecoa o token de volta (MEDIUM — prova, não apenas "declarado"). Não destrutivo, escopo estreito.
- Open redirect Parâmetros next, redirect, return — confirmado por host parseado na resposta.
- Robots / Sitemap Paths sensíveis declarados (admin, internal, backup) em /robots.txt e /sitemap.xml.
- WAF Detection Fingerprint de WAF/CDN por headers, cookies e body (Cloudflare, Sucuri, Imperva, Akamai, CloudFront, Fastly, Vercel, Azure, F5, Wordfence, ModSecurity). Exibe IP do scanner para liberação em allowlist.
- Directory Discovery Varredura de ~40 caminhos comuns em paralelo (admin panels, phpMyAdmin, painéis de debug — Horizon, Telescope, Pulse, Debugbar, Clockwork —, backups, uploads, config, logs). Painel de debug ABERTO (HTTP 200) escala a CRITICAL: dashboards de fila renderizam payloads de jobs enfileirados — tokens de canal, webhooks, PII de destinatário; presente mas protegido (403) fica HIGH. Detecção de soft-404 via canary. Gated por autorização.
- Tech Disclosure Versões de software expostas em headers HTTP (Server, X-Powered-By, X-AspNet-Version) e meta generator, permitindo targeting por CVE específico.
- Host Header Injection Reflexão de X-Forwarded-Host e X-Original-Host no corpo ou Location. Detecta vetor de password reset poisoning e cache poisoning (HIGH).
- Internal Network Leak IPs privados RFC 1918 (10.x, 172.16–31.x, 192.168.x, 127.x) e hostnames internos (.internal, .corp, .lan) em headers HTTP — revela topologia de infra ao atacante.
- Form Password Formulários com input[type=password] submetidos via HTTP (CRITICAL — senha em cleartext) ou para domínio externo (HIGH — credential harvesting).
- Caching Security Respostas com Set-Cookie sem Cache-Control: no-store/private (MEDIUM) e evidência de sessão servida de cache compartilhado via header Age (HIGH). RFC 7234.
- Security.txt Quality Valida security.txt conforme RFC 9116: Contact obrigatório (HIGH), Expires obrigatório (MEDIUM), registro expirado (MEDIUM) ou válido por mais de 1 ano (LOW).
- Rate limiting observado Diz se o alvo limitou requisições durante a auditoria — sem disparar uma única requisição própria. Só lê o que o tráfego das outras probes já produziu, então não tem gate de autorização nem de plano.
- Stack moderna Fingerprint de Next.js, Astro, SvelteKit, Remix e Nuxt por headers e paths característicos. Alimenta detected_stack e habilita as três probes seguintes.
- Source maps expostos Source map publicado em produção revela o código original com nomes de variáveis e funções. MEDIUM no 200; HIGH quando o corpo traz sourcesContent (fonte inteira, não só os nomes). Máximo 6 paths por run.
- .env exposto .env servido na raiz pública — erro comum de next export mal configurado. CRITICAL com fingerprint de segredo real (DATABASE_URL, AWS_ACCESS_KEY_ID, STRIPE_, SUPABASE_); HIGH no padrão genérico CHAVE=valor.
- Rotas /api sem auth Endpoint /api/* devolvendo JSON sem autenticação. CRITICAL com PII ou token aparente; MEDIUM com array de objetos de IDs sequenciais. Conservador: 1 request por path, máximo 6.
- Nuclei Templates de CVE da comunidade, rodando assíncrono fora do lote PHP (RunNucleiProbeJob). É a única probe embrulhada desta camada.
Camada 3 Identidade & domínio 6 probes Quem responde por esse domínio, como recebe e-mails e proteção contra hijacking.
- E-mail (presença) SPF (com lookup budget RFC 7208 §4.6.4), DKIM selectors comuns, DMARC, ausência dos registros.
- E-mail (força) Análise de qualidade das políticas: SPF +all/?all (HIGH), SPF ~all sem DMARC enforcement (MEDIUM), DMARC p=none (HIGH), DMARC pct<100 (LOW). Vai além da presença — avalia se a política realmente protege.
- MTA-STS / TLS-RPT Política de transporte SMTP seguro (RFC 8461): publica política, arquivo acessível, modo enforce. TLS reporting (RFC 8460) configurado.
- Whois (RDAP) Expiração do domínio, status clientHold, pendingDelete.
- Domain Lock Verifica via RDAP se o domínio tem registrar lock: clientTransferProhibited (MEDIUM se ausente) e clientDeleteProhibited (LOW se ausente). Previne domain hijacking.
- Sub-domínios Descoberta passiva via Certificate Transparency (crt.sh) + checagem de subdomain takeover em 16 services (GitHub Pages, Heroku, Fastly, etc.).
Camada 4 Conformidade 1 probe · 7 detectores Camada brasileira — LGPD observável de fora, com base nos artigos que pegam o site comum. Os achados alimentam o mapa de compliance (LGPD/ISO 27001/PCI-DSS).
- Trackers de 3ªs partes GA4, GTM, Meta Pixel, Hotjar, Clarity, TikTok, LinkedIn, Mixpanel, Amplitude, Segment, FullStory e mais — 24 hosts + 11 padrões inline (gtag, fbq, dataLayer). Detecta tracker carregando ANTES do banner mesmo quando não há cookie HTTP. HIGH se sem banner. Ref art. 7º, I.
- Banner & dark pattern Detecta presença do banner (CookieYes, OneTrust, Cookiebot, Iubenda, Klaro, Didomi, Usercentrics, Termly, Osano e custom) e checa se há opção visível de "Rejeitar"/"Apenas necessários". Banner "aceite ou nada" é vício de consentimento (ANPD Guia de Cookies, art. 8º §4º).
- Política & DPO Detecta link/menção a política de privacidade e contato do Encarregado/DPO via parse DOM (XPath em <a href> + texto visível). Vasculha página dedicada (/politica-de-privacidade, /privacidade) coletada pelo crawler mesmo quando a home não cita. Refs art. 9º + art. 41.
- Formulário sem aviso Forms POST coletando e-mail, CPF, telefone, nome ou senha sem checkbox ou link visível pra política de privacidade próximo — falta consentimento informado (art. 8º, §1º). Parse DOM com fallback heurístico em irmãos do form.
- PII em URL CPF, e-mail, telefone ou RG passando via querystring em links da página. Valor mascarado antes de persistir como evidência. Vaza em logs de servidor, histórico do navegador e Referer pra terceiros — risco de segurança clássico (art. 46).
- Transferência intl. Cruza fingerprint de hospedagem estrangeira (Cloudflare, AWS CloudFront, Vercel, Azure, Fastly, Akamai, Fly.io, Netlify, Render, Railway — 17 headers + 7 tokens em Server/Via) com menção a "transferência internacional"/"cláusulas padrão contratuais" no texto. Sem disclosure = LOW (art. 33).
- Cookies de tracking Cookies clássicos de tracking (_ga, _gid, _fbp, hjid, _hjSessionUser, etc.) setados na primeira visita sem banner detectado — HIGH (art. 7º, I).
Camada 5 Pessoas 2 probes (opt-in) Vetor humano — domínio e e-mails do alvo em vazamentos de dados públicos. Agora contínuo: vigilância diária + painel dedicado + alerta, não só durante a auditoria.
- Vazamento de credenciais Opt-in por alvo. Cruza o registrable domain (+ domínios extras) contra o catálogo do Have I Been Pwned sincronizado localmente (sync diário). Emite finding agregado com nº de vazamentos, contas comprometidas e data do mais recente; severidade pela recência e sensibilidade dos dados expostos. 100% passivo — não toca o alvo.
- Vazamentos de e-mail Coleta mailto: e fallbacks (contact@, admin@, security@) e cruza via h8mail contra bases de vazamentos públicos.
Camada 6 Código-fonte & deploy 7 probes (opt-in) Opt-in (plano Agência+) — 5 probes caixa-branca com clone temporário do repo (SAST, secret scanning, Dockerfile, IaC, GitHub Actions), 1 que lê os lockfiles de dependências via API do provedor (sem clone) e 1 conector caixa-cinza que lê a API da Vercel.
- Dependências do repo composer.lock, package-lock.json, yarn.lock, requirements.txt, poetry.lock, go.mod, Gemfile.lock — GitHub/GitLab (subgrupos)/Bitbucket. PAT opcional pra repos privados. Cruzado com OSV.dev + CVE/EPSS/KEV.
- SAST (Semgrep) Análise estática com rulesets detectados por stack: PHP/Laravel, JavaScript/Express/React, Python/Django/Flask, Go, Ruby, Java + OWASP Top 10. Findings agrupados em 15 buckets (SQLi, XSS, command injection, path traversal, mass assignment, weak crypto, etc.). CWE-78/89/94 promovidos automaticamente a CRITICAL.
- Secret scanning Gitleaks varre árvore atual + histórico --depth=N (default 50 commits). Detecta chaves AWS/GCP/Azure (CRITICAL), GitHub PAT, Stripe/Twilio/SendGrid, chaves privadas PEM, e ~150 outros padrões. Valor mascarado (4 primeiros + 4 últimos chars) antes de persistir.
- Dockerfile (Hadolint) Lint de Dockerfile detectando práticas inseguras: USER root persistente (HIGH), ADD em vez de COPY, versões não pinadas em apt/apk/pip/npm, tag latest, missing HEALTHCHECK, shell sem pipefail, cache de apt não limpo. 9 buckets traduzidos.
- IaC (Trivy config) Misconfigurations em Terraform (.tf), Kubernetes manifests, CloudFormation, Helm charts, Ansible playbooks + CIS Docker benchmark. Severity direto do Trivy (CRITICAL/HIGH/MEDIUM/LOW), cap de 500 findings por run ordenados por severity.
- GitHub Actions Parser custom de .github/workflows/*.yml: pull_request_target + checkout do head do PR (CRITICAL — RCE clássico), permissions: write-all (MEDIUM), actions sem pin de SHA (@branch HIGH, @tag terceiros MEDIUM), secrets ecoados em run (HIGH).
- Vercel (API) Conecta na API oficial da Vercel com token read-only por alvo (criptografado). Audita a versão do Node (HIGH se EOL/sem suporte de segurança, MEDIUM se fim de vida recente), se o deploy de produção mais recente quebrou — com as linhas de erro do build — e a taxa de builds falhos no histórico recente. Não lê variáveis de ambiente nem código-fonte.
Camada 7 Exposição externa (OSINT) 3 probes (plan-gated) Vazamentos do seu domínio em fontes públicas fora do perímetro — search engines, repos públicos, Internet Archive, buckets cloud adivinháveis. 100% passivo, plan-gated.
- Google Dork (Pro+) Varre o índice do Google via Serper.dev por 11 categorias: arquivos sensíveis indexados (.env, .sql, .bak, phpinfo, directory listing, credenciais em URL) e menções do domínio em pastes públicos (Pastebin, Gist, Postman, GitLab, Bitbucket, Docker Hub). Cobre o caso clássico de "arquivo sumiu do servidor mas continua no cache". Opt-out por categoria; cache 24h.
- Public Repo Leak (Business+) GitHub Code Search com 7 queries: .env files, DATABASE_URL, AWS access keys (AKIA), chaves privadas RSA, webhooks Slack, wp-config.php + enumeração opcional via org:{handle}. Pega repo da empresa publicado por engano e funcionário commitando segredo em conta pessoal. Mascaramento automático de AWS/Slack/GitHub/Stripe nos snippets de evidência. Exclude do repo conectado pra evitar self-hit.
- Wayback Machine (Pro+) Internet Archive CDX API. Lista URLs históricas do domínio que apontam para arquivos sensíveis (18 extensões: .env, .sql, .pem, .config, .log, etc.) — mesmo que tenham sido removidas do servidor, o conteúdo continua acessível indefinidamente via cache do Wayback. Agrupado por extensão num único finding.
As probes das camadas 1–4 rodam em toda auditoria após autorização do domínio (3 delas — Portas, Directory Discovery e Confirmação ativa de XST — exigem gate de autorização adicional para sondagem ativa). As probes opt-in (camadas 5 e 6) exigem dados extras: toggle de monitoramento de vazamento, autorização para coleta de e-mails, URL do repositório para as análises caixa-branca e token read-only da Vercel para a auditoria do projeto. A camada 7 (OSINT) é 100% passiva — não toca o alvo, varre apenas índices públicos — e é liberada por plano: Pro+ ganha Google dorks, Wayback e enumeração de buckets cloud; Business+ adiciona varredura de repositórios públicos vazando código.
Saídas
Não basta detectar. Tem que dar pra agir.
PDF executivo
Resumo pra diretoria e detalhe técnico no mesmo documento, com a nota, o diff e o que fazer. White-label no plano Agência.
Evidência por achado
Cada achado traz o que foi observado — cabeçalho, trecho de resposta, registro DNS — pra o time conferir sem refazer o teste.
Diff entre auditorias
O que apareceu, o que sumiu e o que continua desde a semana passada, com os achados novos em destaque.
Exportação e API
CSV, JSON e API read-only. O histórico é seu, inclusive na saída.
Tarefa de remediação
Achado vira tarefa com responsável e prazo, e o MTTR do workspace mostra se a fila anda.
Jira e CI/CD
Issue aberta no seu projeto e SARIF no GitHub Actions pra travar o build quando aparecer coisa crítica.
Recorrência
Auditoria toda semana, sem você lembrar.
Configura uma vez. O Sentinela roda no horário combinado, compara com a auditoria anterior e notifica os canais escolhidos enquanto houver achado crítico ou alto — com os novos em destaque.
Do Pro pra cima existe também o gatilho por evento: uma probe leve percebe exposição nova — porta aberta, cabeçalho derrubado, vulnerabilidade crítica — e dispara a auditoria profunda em cerca de 30 segundos, sem esperar a semana virar.
Por perfil
Mesma plataforma, leituras diferentes.
Vazou? Você fica sabendo — sem precisar auditar.
Todo dia cruzamos os seus domínios com o catálogo público de vazamentos. Exposição nova gera alerta no mesmo dia e entra na Central. Credenciais & Dados Expostos ficam num painel só, 100% passivo.
Evidência documental datada.
Sete detectores de LGPD observáveis de fora: tracker de terceiro antes do banner, "aceite ou nada", formulário sem aviso, dado pessoal em querystring, transferência internacional sem disclosure. Mapa de compliance correlaciona com LGPD, ISO 27001 e PCI-DSS.
Cobrança recorrente com prova.
Audite todos os sites dos seus clientes numa conta. PDF white-label com a sua marca e resumo executivo a cada mês, mostrando a nota subindo de C pra A — argumento concreto na hora da renovação.
Transparência
Por trás do gate de autorização.
Antes de rodar qualquer probe ativa no seu domínio, exigimos que você marque “eu autorizo a auditoria deste domínio”. Sem isso, só rodam as probes 100% passivas — DNS, WHOIS, CT logs. Isso protege você, protege a gente, e está alinhado com boas práticas de pesquisa de segurança e com a LGPD.
Comparativo
Sentinela vs alternativas.
| Sentinela | Scanner de aplicação (DAST) | Plataforma de ASM | Scanner de infraestrutura | |
|---|---|---|---|---|
| Em PT-BR nativo | sim | — | — | — |
| Pagamento em BRL com NF | sim | — | — | — |
| Probe dedicado de LGPD | sim | — | — | — |
| Uptime no mesmo painel | sim | — | — | — |
| Risco financeiro em R$/ano | sim | — | — | — |
| Auditoria recorrente automática | sim | sim | sim | sim |
Cada produto tem força em algo — escolha o que se encaixa no seu caso. Comparativo baseado nos planos públicos das respectivas plataformas em agosto de 2026.
FAQ — Security Audit
Dúvidas comuns.
Não achou a sua? Fale com a gente — responde uma pessoa, em português.
É pentest?
Não. É ASM externo automatizado e recorrente: observamos o que o seu domínio expõe, sem explorar nada. Complementa o pentester humano — não substitui.
Vai derrubar meu site?
Não. As probes têm limite de taxa e são de baixo impacto. Nenhuma faz brute-force ou teste destrutivo, e as três de sondagem ativa exigem um aval seu além da autorização do domínio.
Por que preciso autorizar o domínio?
Porque auditoria ativa só é legítima com permissão de quem manda no domínio. É um clique, fica registrado com data e hora, e protege as duas partes.
O relatório serve como evidência de LGPD?
Serve como evidência de esforço contínuo, datada e auditável — é o que o DPO precisa mostrar. Não é certificação formal, e a gente não finge que é.
Como é calculada a nota de A a F?
É uma nota técnica de 0 a 100, comparável entre alvos: cada achado pesa pela severidade e pela camada. O risco contextual — criticidade do negócio, exploração conhecida, custo em reais — vive num eixo paralelo, pra nota não virar opinião.
Preciso dar acesso ao meu código?
Só se quiser as duas camadas opt-in de código e deploy. Sem elas, 49 probes já rodam sem nenhuma credencial. Com elas, o clone é temporário e descartado depois da análise.
Com que frequência devo auditar?
Semanal cobre a maioria dos casos, porque a superfície muda a cada deploy. Se o site muda todo dia, use o gatilho por evento: a auditoria profunda roda quando algo de fato mudou.
Sem downtime real, o risco em reais é chute.
A exposição em R$/ano usa o custo de inatividade que a gente mediu no seu site — não uma média de mercado. Por isso as duas coisas moram no mesmo painel.
Ver Uptime →Comece hoje
Veja sua postura de segurança em poucos minutos.
Autoriza o domínio, roda a primeira auditoria e recebe a nota com os achados priorizados. Sem cartão pra começar.