Skill pra Claude Code e Codex · Software e infra
A security-checklist é a skill que faz a sua IA auditar a segurança de um SaaS antes do lançamento ou depois de uma mudança sensível, cobrindo autenticação, autorização, validação, upload, pagamento, webhook, cabeçalhos, SSRF, supply chain e log. Tem um gate de liberação que para o release quando um item crítico falha, e a regra de só aprovar o que tem evidência.
Ou as 25 skills com 9 bônus no Pack de Skills por R$ 497.
O problema
Auditoria de segurança feita por IA sem processo vira lista genérica de boa prática, termina aprovando por leitura e ninguém testa nada de verdade. Três sintomas, e o que muda com a skill.
| Sem a skill | Com a security-checklist |
|---|---|
| A IA lê o código e declara que está seguro, sem saber onde mora a autenticação, como os dados de cada cliente se separam e por onde o pagamento passa. | Primeiro o mapa real do sistema, com rotas, isolamento entre clientes, fluxo de pagamento e onde ficam os segredos, e só depois o checklist contra esse mapa. |
| O achado vem vago, algo como pode estar vulnerável, sem arquivo, sem linha e sem jeito de reproduzir, e ninguém confere sem ler o projeto inteiro. | Todo achado sai com arquivo, linha e caminho de exploração concreto, e o que só se prova rodando fica numa lista separada, nunca marcado como ok por leitura. |
| Ninguém testou trocar o id de um usuário pelo de outro, o webhook não valida assinatura e ninguém procurou segredo no histórico do repositório. | Teste de acesso indevido em todos os endpoints com identificador, webhook com assinatura e deduplicação conferidos, e ferramenta determinística somada ao julgamento da IA. |
O que sai dela
Um relatório de segurança que dá pra conferir sem ler o código inteiro, com a decisão de liberar ou não.
rotas, autenticação, isolamento entre clientes, pagamento e segredos
severidade, arquivo, linha e exploração reproduzível de cada problema
o que foi confirmado lendo e o que ainda exige teste rodando
aprovado, aprovado com ressalvas ou reprovado, pelo gate de liberação
Como funciona
Rotas públicas, autenticadas, admin, internas e webhooks, onde a autenticação é aplicada, como os dados de cada cliente se separam e onde ficam os segredos.
Cada item é marcado como verificável lendo, só rodando, ou os dois. A IA só afirma resultado no que dá pra provar lendo, e sempre com evidência.
Bloqueador, alto, médio ou baixo, com arquivo, linha e exploração concreta, do bypass de login ao cabeçalho que falta.
Acesso indevido em todos os endpoints com identificador, em leitura e escrita, mais busca de segredo, auditoria de dependência e análise estática somadas ao julgamento da IA.
Segredo exposto, autorização quebrada, pagamento sem idempotência ou webhook sem assinatura param o release. Sem bloqueador em aberto, libera.
Antes de comprar
Rodar a mesma auditoria no Claude Code e no Codex e cruzar os dois relatórios aumenta a confiança, e a skill explica como fazer.
O limite dela
O checklist cobre o que um SaaS precisa antes de ir pra produção, só que aprovado por leitura não é seguro: o que depende de teste rodando fica registrado como pendência explícita até alguém testar.
Pra produto com dado muito sensível, dinheiro alto ou exigência de cliente, um pentest humano continua fazendo sentido, e a skill deixa o terreno organizado pra ele render mais.
LGPD, com base legal, retenção e direito do titular, fica com a lgpd-baseline, e a bateria de testes automatizados com a testes-automatizados-expert, as duas no catálogo.
O que você recebe
O preço
Só a security-checklist
R$57pagamento único
Comprou avulsa e depois quis tudo? Me chama que eu abato o que você já pagou.
Pack de Skills
R$ 1.665R$497ou 10x no cartão
As 25 avulsas dão R$ 1.665. O pack se paga na nona skill.
04 · Software e infra
Antes de você perguntar
Autenticação, autorização e isolamento entre clientes, validação de entrada, upload, fluxo financeiro, webhook, cabeçalhos e CORS, SSRF, dependências e log, com um gate de liberação que para o release quando um item crítico falha.
Não. Ela faz a auditoria de pré-produção com evidência e separa o que precisa de teste rodando. Pra dado muito sensível ou exigência contratual, pentest humano continua valendo.
Não pra rodar, mas ajuda pra entender os achados. Por isso cada problema vem com arquivo, linha e exploração concreta: dá pra conferir abrindo o arquivo na linha citada, sem ler o projeto inteiro.
Usa. Busca de segredo no histórico, auditoria de dependência e análise estática quando possível, porque ferramenta determinística acha o segredo commitado que a IA pode ignorar, e a IA acha a lógica de negócio quebrada que a ferramenta não pega.
Pode, com autorização do cliente pro escopo testado. A licença cobre o seu trabalho para terceiros; o que não vale é revender ou redistribuir a skill.
Pagamento único, garantia de 7 dias, 12 meses de atualização. Ou leve as 25 no pack.
