Changelog

Adicionamos 2 checkers que procuram chaves secretas no código que o navegador baixa, o HTML da página e os arquivos JavaScript do próprio site. Nos dois casos nada é invadido: o segredo é entregue junto com o site a todo visitante.

• #34 AI Provider API Keys Exposed: detecta chaves de API dos nove provedores de IA cobertos hoje: OpenAI, Anthropic, Google Gemini, Replicate, HuggingFace, Cohere, Groq, Together AI e Perplexity. Chaves do Google no formato AIza... só reprovam quando o contexto ao redor indica uso em IA generativa, já que o mesmo formato serve a Maps, Firebase e YouTube, que são públicos por design. Placeholder de tutorial, como YOUR_API_KEY, é ignorado.
• #35 NEXT_PUBLIC Sensitive Variable Leakage: no Next.js, toda variável com prefixo NEXT_PUBLIC_ é embarcada no bundle do frontend durante o build. O checker reprova quando o valor embarcado é segredo: secret key da Stripe, service role do Supabase, chave de IA, connection string de banco, credencial temporária da AWS, token do GitHub, do Slack ou chave do SendGrid. Variáveis públicas por design, como anon key do Supabase, publishable key da Stripe, ID de analytics, DSN do Sentry, configuração do Firebase e chave do Google Maps, ficam de fora por uma lista de 36 isenções.

No relatório

• Valor mascarado: o achado mostra o provedor, o arquivo em que a chave apareceu e a chave no formato sk-proj-...9f. O valor completo não é armazenado.
• Revogação em primeiro lugar: o prompt de correção dos dois checkers começa pela revogação da chave. Bloquear o arquivo ou remover o prefixo não invalida o que já pode ter sido copiado, e versões antigas do bundle podem seguir em cache de CDN.

Dúvidas: [email protected]

Concluímos a auditoria dos prompts de correção, o texto que acompanha cada achado do relatório e pode ser levado a uma IA para gerar a correção. A revisão abrangeu os prompts de todos os checkers e resultou em 22 ajustes.

Alinhamento com a evidência do scan

• Descrição do estado observado: o prompt passou a refletir estritamente o que a verificação constatou. Em cenários de cabeçalho ausente, como HSTS, a orientação descreve a ausência e trata da implantação do cabeçalho, em vez de partir de um valor já configurado.
• SPF: a orientação passou a ser construída a partir dos provedores já publicados no registro do domínio, preservando os remetentes legítimos em vez de sugerir um registro genérico.

Orientações adequadas ao contexto do site

• CSP img-src: a orientação passou a considerar usos legítimos de data:, como avatares em base64 e preview de upload, preservando esses casos ao restringir a diretiva.
• X-Frame-Options: a orientação passou a distinguir sites que precisam ser carregados em iframe, como checkout embutido e widgets de terceiros, indicando a diretiva adequada a cada caso em vez de DENY como resposta única.
• Credenciais expostas: os três checkers de credencial passaram a abrir pela rotação do segredo, já que restringir o acesso ao arquivo não invalida uma chave que possa ter sido copiada, e só então tratam da exposição.

Integridade do prompt

• Conteúdo do alvo neutralizado: dados obtidos do site analisado, como cabeçalhos e trechos de resposta, passam por sanitização antes de compor o prompt. A revisão cobriu os 20 pontos em que conteúdo do alvo alimenta o texto entregue no relatório, de modo que apenas as instruções geradas pela CarameloSec cheguem à IA.
• Evidência preservada: os trechos coletados no scan passaram a ser exibidos como o servidor respondeu, sem escapes de HTML no caminho até o relatório, o que melhora a qualidade da correção gerada.

Consolidação dos prompts de cookie

Cookies com mais de uma flag ausente passaram a gerar um único prompt por cookie, cobrindo todas as flags envolvidas, em vez de um prompt por achado individual.

Também nesta versão

• Precisão em projetos SPA: o checker de arquivos expostos deixou de reportar index.php.bak em projetos que respondem qualquer rota com a mesma página, padrão em Next.js, Vercel e Netlify. A causa era a classificação de dois caminhos na lista de arquivos testados.

Dúvidas: [email protected]

Passamos as últimas semanas revisando as verificações do CarameloScan de ponta a ponta, ajustando onde a detecção podia ser mais precisa e ampliando cobertura em pontos que ficavam de fora.

Detecção mais precisa

• Verificações de CORS reescritas: agora testamos ativamente se o servidor aceita origens arbitrárias, que é a vulnerabilidade real de CORS, em vez de avaliar apenas a presença do cabeçalho Access-Control-Allow-Origin. Na prática, não ter esse cabeçalho é a configuração correta pra maioria dos sites: o navegador já bloqueia requisições cross-origin por padrão, e o cabeçalho existe justamente pra abrir exceções. Se você viu esse alerta antes e ele não fazia sentido pro seu caso, é provável que não apareça mais.
• Listagem de diretório: refinamos o critério: agora exigimos evidência real de listagem, em vez de sinais que também aparecem em páginas comuns de documentação.
• Versão em arquivos de projeto: a verificação passou a considerar apenas arquivos onde a versão é o conteúdo principal, evitando alertar por versões de dependência mencionadas em README.

Mais cobertura

• Cookies em fluxo de login: o cookie de sessão é normalmente emitido no redirect após o login. Agora analisamos toda a cadeia de redirecionamento, não só a página final.
• Projetos em App Router: a verificação de variáveis expostas do Next.js passou a reconhecer projetos usando App Router, padrão do framework desde a versão 13.
• Sites com resposta lenta: em sites atrás de WAF ou em hospedagem compartilhada, parte das verificações de arquivo exposto podia ser interrompida por tempo de resposta. Ajustamos a coleta pra aguardar o servidor em vez de desistir. O scan pode levar mais tempo nesses casos, mas o resultado é completo.

Relatório mais claro

• Credenciais mascaradas: quando encontramos uma chave ou senha exposta, o valor agora aparece parcialmente ocultado no relatório: o suficiente pra você localizar onde está, sem que o segredo precise ser armazenado por nós.
• Severidade proporcional: a prioridade de cada achado agora reflete melhor a gravidade real, em vez de usar um valor padrão.

Como validamos

Cada ajuste foi testado num ambiente que reproduz os cenários reais, antes e depois da mudança, e deixou uma verificação permanente. São 505 testes automatizados rodando a cada alteração, mais validação manual em ambiente de homologação.

Todos os planos ativos receberam créditos pra rodar um scan novo e comparar os resultados.

Dúvidas: [email protected]

Adicionamos 3 novos checkers focados em superfícies técnicas que costumam vazar informação sensível quando esquecidas em produção.

• Directory Listing: detecta pastas comuns (uploads, backup, tmp, files) que respondem com listagem pública de arquivos.
• Debug Endpoints: verifica se endpoints técnicos de desenvolvimento (phpinfo, Swagger, Actuator, GraphQL Playground) ficaram acessíveis em produção.
• Source Maps: testa se arquivos .js.map do frontend estão expostos publicamente, revelando o código-fonte original.

Lançamos a extensão CarameloSec - Scan Autenticado, disponível na Chrome Web Store. Ela permite escanear áreas do seu site que só existem depois do login, reaproveitando a sessão já ativa no navegador, sem precisar copiar cookies ou tokens manualmente.

• Fluxo em 3 passos: faça login na sua aplicação, clique em "Iniciar Scan" na extensão e ela abre o painel da CarameloSec já com o scan autenticado em andamento.
• Cobertura mais completa: o scan passa a alcançar páginas e áreas que só ficam acessíveis a usuários logados, algo que o scan comum não vê.
• Captura sob demanda: a sessão só é capturada quando você clica no botão, fica apenas no navegador e é apagada logo depois de iniciar o scan.
• Uso autorizado: destinada a aplicações das quais você é dono ou tem autorização para testar; o painel da CarameloSec verifica essa autorização antes do scan.

Agora cada checker que falha no relatório vem com um prompt de correção pronto para usar. O objetivo é acelerar o ajuste de cabeçalhos, políticas e configurações do servidor sem precisar interpretar manualmente o achado.

• Disponível diretamente no relatório: o botão de gerar prompt aparece ao lado do checker reprovado.
• Conteúdo contextual: o prompt descreve o que ajustar com base no que foi detectado no scan.
• Fluxo rápido: gere, copie e aplique a correção no seu stack em poucos minutos.

Adicionamos um conjunto de checkers dedicados à análise de cookies de sessão. O motor agora identifica cookies sem as flags de segurança obrigatórias e classifica cada achado por severidade com evidências diretas da resposta HTTP.

• Flag Secure ausente: cookie transmitido em texto claro por conexões não-HTTPS.
• Flag HttpOnly ausente: cookie acessível via JavaScript, exposto a ataques de XSS.
• Flag SameSite ausente ou permissiva: cookie enviado em requisições cross-site, facilitando CSRF.
• Escopo excessivo: cookies com Domain abrangendo subdomínios desnecessariamente.

Novos checkers para detecção de arquivos e rotas sensíveis acessíveis publicamente. O motor tenta uma lista curada de caminhos comuns e reporta qualquer exposição com severidade e resposta HTTP como evidência.

• .env exposto: arquivo de variáveis de ambiente acessível via browser, podendo conter credenciais e secrets.
• .git exposto: diretório de controle de versão acessível, permitindo reconstrução do código-fonte.
• robots.txt com rotas de admin: paths sensíveis listados explicitamente no arquivo de crawlers.
• Endpoints de debug ativos: rotas como /debug, /phpinfo, /server-status respondendo em produção.
• Backups e arquivos de configuração: arquivos .bak, config.php~, wp-config.php e similares expostos.

Lançamento público da CarameloSec, plataforma de diagnóstico de segurança para aplicações web. Sem instalação de agente, sem configuração prévia: cole a URL e receba um relatório completo em minutos.

• Motor de scan: análise de headers HTTP, cookies, TLS, CORS, arquivos sensíveis expostos e configurações críticas.
• 30+ checkers: verificações categorizadas por área (HSTS, CSP, CORS, Headers, TLS, Exposição de arquivos etc.) com severidade e evidências detalhadas.
• Nota de segurança A–F: pontuação calculada com base na porcentagem de checks aprovados no scan.
• Dog Mode: ambiente de exploração gratuito que permite simular análises sem gastar créditos.
• Sistema de créditos: 1 crédito por scan completo, disponível via assinatura mensal (R$39,90/mês) ou compra avulsa (R$39,90, sem expiração).
• Autorização por token: comprovação de propriedade de domínio via registro DNS ou arquivo de verificação.