Pular para o conteúdoLockpick
Como funcionaPreçosDocumentação

Leia

  • BlogRespostas simples para dúvidas comuns de segurança
  • GuiasCorreções passo a passo para configurações comuns
  • Verificações de segurançaCada verificação que fazemos, explicada

Aprenda

  • Aprenda com o PickLições de dois minutos sobre como sites são atacados
  • Lockpick para o ClaudeVerifique sites pelo Claude e outros assistentes
  • GlossárioAs palavras que usamos, em linguagem simples

Empresa

  • Histórico de mudançasO que mudou, do mais novo para o mais antigo
  • SituaçãoSe as verificações estão rodando agora
  • Segurança e confiançaComo verificamos e o que nunca fazemos
EntrarVerificar

Você construiu.Descubra o que ficou exposto.

Antivírus para apps, sites, skills e repos criados com vibe coding.

Teste

Sites, repos do GitHub, skills e servidores MCP. Grátis, sem conta.

Quer o quadro completo? Cadastre-se para uma verificação Pulse gratuita.

Esta verificação lê informações públicas do site e do domínio. Guardamos resultados e evidências com dados ocultados. Como seus dados são usados

57.87101234567890123456789.01234567890123456789012345678957.871 novas vulnerabilidades publicadas este ano. Estimativa ao vivo com dados do Zero Day Clock.

  1. Analisamos sua página inicial como um invasor faria.De fora, do jeito que qualquer pessoa faria. Os scans de sites nunca precisam do seu código. As verificações de repos e skills leem código público e nunca o executam.
  2. Explicamos o que encontramos em linguagem simples.Cada achado diz o que vimos e o que alguém poderia fazer com isso. Sem jargão.
  3. Escrevemos as instruções para corrigir o problema.Funciona com Lovable, Bolt, Replit, Cursor e Claude Code.

O relógio ficou mais rápido.

Seu site público é o primeiro lugar onde alguém olha.

  • 57.87101234567890123456789.01234567890123456789012345678957.871vulnerabilidades publicadas em todo o mundo em 2026, estimativa ao vivo
  • 2,7×0123456789,0123456789×no último trimestre ante um ano antes, 30 mil contra 11 mil
  • 135012345678901234567890123456789exploradas ao se tornarem públicas, 1º semestre de 2026
  • Nº 1Nº 0123456789aplicativos web e plugins foram a categoria mais explorada em 2026, 211 de 679

Fontes

Um problema, do início ao fim.

Um exemplo do que uma varredura Pulse encontra. Este erro é comum.

atlas.example
AAtlasStudio

Bom dia, Studio

1.248 clientes37 faturas a vencer

Código-fonte/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. SUPABASE_SERVICE_ROLE_KEY:"eyJhbGciOiJI…"},
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_SERVICE_ROLE_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersQualquer pessoa que abre atlas.example

NomeE-mail
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
e mais 1.245 linhasApagar todos os 1.248

LockpickExemplo

Chave de administração do banco de dados no código do site

EncontradoVarredura Pulse

atlas.example
AAtlasStudio

Bom dia, Studio

1.248 clientes37 faturas a vencer

Código-fonte/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. Chave removida
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_ANON_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersQualquer pessoa que abre atlas.example

NomeE-mail
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
e mais 1.245 linhasApagar todos os 1.248

permissão negada para a tabela customersA chave pública do site não pode ler esta tabela.

LockpickExemplo

Chave de administração do banco de dados no código do site

CorrigidoVerificado de novo

Antes. A chave de administração do banco de dados do Atlas está no código do site, e qualquer pessoa que abre o site pode abrir a tabela de clientes.

O que vimos

Uma chave que abre o banco de dados inteiro estava no código do site.

Detalhes técnicos

Encontrado em 1 dos 4 scripts que a página inicial carrega, /_next/static/chunks/app.js. Um JWT do Supabase que começa com eyJhbGciOiJI (cortado aqui) tem o papel service_role, que ignora a segurança em nível de linha. O Lockpick leu o script como qualquer navegador e não usou a chave.

O que alguém poderia fazer

Ler, alterar ou apagar todos os registros de clientes. Sem senha.

O prompt

Um prompt pronto para colar no seu agente de código. Troque a chave, mova-a para o servidor, bloqueie a tabela e verifique de novo.

Grátis para começar. Deep quando quiser mais.

Gratuito

Sem precisar de cartão

  • 5 varreduras Pulse gratuitas por mês em um site
  • Sua página inicial e seus registros públicos de DNS, e-mail e certificado
  • No máximo 10 requisições, geralmente menos de 15 segundos
  • Verificações automáticas semanais usam uma varredura cada
  • Sem login, sem envio de formulários, sem dados de clientes

Deep

$19 por mês ou $190 por ano

  • 100 varreduras Pulse e 20 Deep por mês em 3 sites
  • Até 30 páginas, seus scripts e a API por trás delas
  • Verificações automáticas semanais
  • Primeiro, comprove que você é dono do site
VerificarVer Deep

Master Key chega em breve.

Apenas páginas HTTPS públicas. Faça varreduras somente em sites que você está autorizado a testar.

Perguntas antes de fazer a varredura.

É seguro fazer a varredura do meu site?

Sim. Uma varredura Pulse lê apenas o que qualquer navegador ou servidor de e-mail já consegue ver. Ela cobre a página inicial e os arquivos que ela carrega, as configurações de remetente de e-mail (SPF e DMARC), cabeçalhos de segurança e TLS, e registros públicos de DNS, certificado e subdomínios, em no máximo 10 requisições. Nunca faz login nem envia formulários.

Vocês precisam do meu código?

Para o seu site, não. Os scans de sites verificam seu site no ar por fora, do jeito que um atacante faria, então nunca precisam do seu código. As verificações de repos e skills leem só o código público de um link do GitHub que você colar, e nunca o executam.

Com quais construtores ele funciona?

Qualquer site público em HTTPS, independentemente de quem o construiu. Cada achado vem com um prompt de correção para o seu assistente de código, seja Lovable, Bolt, Replit, Cursor, Claude Code ou outro.

O que significa “autorizado a testar”?

Significa que o site é seu, ou que o dono disse que você pode verificá-lo. Você confirma isso antes de uma varredura Pulse, e uma varredura Deep também pede que você comprove que é dono do site.

O que os membros do Early AI-dopters recebem?

Os membros recebem 10 varreduras Pulse por mês em 2 sites e um mês grátis de Deep. Membros VIP recebem 20 em 3 sites e 2 meses grátis de Deep. Resgate pelo bloco do Lockpick em EA Apps.

Posso cancelar a qualquer momento?

Sim. Cancele o Deep em Billing quando quiser. O plano Free não tem nada para cancelar.

Olhe de perto antes que outros olhem.

Verificar

Só abra as fechaduras que são suas.

Lockpick
PreçosMetodologiaDocumentaçãoBlogGuiasVerificações de segurançaAprenda com o PickSegurança e confiançaLockpick para ClaudeNovidadesSituaçãoFatos para assistentes de IA

O Lockpick é um verificador de segurança para apps criados com vibe coding. Ele checa o que seu site no ar expõe e o que um repo do GitHub ou uma skill de IA faria antes de você instalar, e entrega um prompt de correção para Lovable, Bolt, Replit, Cursor ou Claude Code.

O Lockpick avalia páginas públicas que você está autorizado a testar e código público do GitHub que ele nunca executa.

© 2026 LockpickTermosPrivacidadeContatoEntrar