# Comandos

Cada comando do lockpick e suas opções, gerado a partir da própria CLI.

{/* Generated by scripts/docs-generate.mts. Do not edit; run `pnpm docs:generate`. */}

O Lockpick no seu terminal: verificações rápidas, sites, status, achados, instruções de correção, verificações Pulse, verificações Deep que você aprova e novas verificações para você e para os seus agentes de programação.

Rode `lockpick <command> --help` para ver as mesmas opções no seu terminal. Todo comando também aceita `--host` e `--json`.

## lockpick login

Entra pelo navegador e guarda uma chave para um workspace

```bash title="Uso"
lockpick login [options]
```

| Argumento      | O que faz                                                                                                                       |
| -------------- | ------------------------------------------------------------------------------------------------------------------------------- |
| `--no-browser` | Mostra o link de entrada sem abrir o navegador                                                                                  |
| `--pulse`      | Pede permissão para iniciar scans Pulse, verificações rápidas e verificações de DNS gratuitas de novo (você marca no navegador) |
| `--sites`      | Pede permissão para adicionar sites e trocar o seu site gratuito (você marca no navegador)                                      |
| `--deep`       | Pede permissão para preparar scans Deep que você aprova no Lockpick (você marca no navegador)                                   |
| `--local`      | Solicitar permissão para avaliações locais                                                                                      |

## lockpick logout

Revoga a chave deste terminal e a esquece

```bash title="Uso"
lockpick logout
```

## lockpick whoami

Mostra o usuário, o workspace e a chave que este terminal usa

```bash title="Uso"
lockpick whoami
```

## lockpick doctor

Verifica a CLI, o host, a conexão, a autenticação e o acesso ao workspace sem iniciar um scan

```bash title="Uso"
lockpick doctor [options]
```

| Argumento         | O que faz                                       |
| ----------------- | ----------------------------------------------- |
| `--scope <value>` | Escopo a verificar: pulse, sites, deep ou local |

## lockpick projects

Lista os projetos com os seus scans Pulse e Deep mais recentes

```bash title="Uso"
lockpick projects
```

## lockpick status

Relatório de situação de um projeto (ou uma visão geral de todos)

```bash title="Uso"
lockpick status [project]
```

| Argumento   | O que faz             |
| ----------- | --------------------- |
| `<project>` | ID ou nome do projeto |

## lockpick sites

Lista os sites, adiciona um com `lockpick sites add \<url\>`, ou move o Pulse gratuito com `lockpick sites switch \<siteId\> --yes`

```bash title="Uso"
lockpick sites
```

## lockpick sites add

Adicione um site que você possui ou tem permissão para testar (exige uma chave que possa adicionar sites). Adicionar não inicia um scan.

```bash title="Uso"
lockpick sites add <url> [options]
```

| Argumento        | O que faz                                                                    |
| ---------------- | ---------------------------------------------------------------------------- |
| `<url>`          | Endereço do site, por exemplo [https://atlas.example](https://atlas.example) |
| `--name <value>` | Nome exibido no Lockpick                                                     |

## lockpick sites switch

Remove o site que tem o Pulse gratuito deste mês para que outro site possa usá-lo (exige uma chave que possa adicionar sites e iniciar Pulse). Com --check, também inicia um Pulse no site dessa verificação rápida, usando um Pulse gratuito.

```bash title="Uso"
lockpick sites switch <site> [options]
```

| Argumento         | O que faz                                                                           |
| ----------------- | ----------------------------------------------------------------------------------- |
| `<site>`          | ID do site a remover (de `lockpick sites`)                                          |
| `--check <value>` | ID da verificação rápida do novo site; o Pulse dele começa com a troca              |
| `--yes`           | Confirma a remoção. O site deixa de ser monitorado; pode ser restaurado no Lockpick |

## lockpick runs

Lista os scans Pulse e Deep, do mais recente para o mais antigo

```bash title="Uso"
lockpick runs [options]
```

| Argumento           | O que faz                                                                         |
| ------------------- | --------------------------------------------------------------------------------- |
| `--project <value>` | ID ou nome do projeto                                                             |
| `--kind <value>`    | pulse \| box                                                                      |
| `--status <value>`  | queued \| running \| cancelling \| succeeded \| incomplete \| failed \| cancelled |
| `--limit <value>`   | Quantos (padrão 20, máximo 100)                                                   |

## lockpick run

Mostra uma execução

```bash title="Uso"
lockpick run <runId>
```

| Argumento | O que faz      |
| --------- | -------------- |
| `<runId>` | ID da execução |

## lockpick watch

Acompanha uma execução até ela terminar (sai com código 3, a menos que tenha sucesso)

```bash title="Uso"
lockpick watch <runId> [options]
```

| Argumento            | O que faz                                                                                                 |
| -------------------- | --------------------------------------------------------------------------------------------------------- |
| `<runId>`            | ID da execução                                                                                            |
| `--fail-on <value>`  | Sai com código 8 quando há achados abertos nesta gravidade ou pior: critical, high, medium, low (para CI) |
| `--interval <value>` | Segundos entre as verificações (padrão 5, chega a 30)                                                     |
| `--timeout <value>`  | Tempo máximo de espera em segundos (padrão 600, máximo 3600)                                              |

## lockpick pulse

Inicia um scan Pulse de um projeto e aguarda o resultado (exige uma chave que possa iniciar Pulses)

```bash title="Uso"
lockpick pulse <project> [options]
```

| Argumento            | O que faz                                                                                                                                                      |
| -------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `<project>`          | ID ou nome do projeto                                                                                                                                          |
| `--no-wait`          | Retorna assim que o scan começar, sem esperar o resultado                                                                                                      |
| `--interval <value>` | Segundos entre as verificações enquanto aguarda (padrão 5)                                                                                                     |
| `--timeout <value>`  | Tempo máximo de espera em segundos (padrão 600, máximo 3600)                                                                                                   |
| `--fail-on <value>`  | Sai com código 8 quando há achados abertos nesta gravidade ou pior: critical, high, medium, low (para CI)                                                      |
| `--lockfile`         | Envia (ou, com --no-lockfile, nunca envia) os nomes e as versões dos pacotes desta pasta nesta execução; caso contrário, o Lockpick pergunta uma vez por pasta |

## lockpick recheck

Nova verificação completa de um site: um novo Pulse que usa um scan Pulse da cota. Com --dns \<findingId>, uma nova verificação de DNS gratuita de um achado de um scan, que nunca altera a nota.

```bash title="Uso"
lockpick recheck <target> [options]
```

| Argumento            | O que faz                                                                                                                                                      |
| -------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `<target>`           | ID ou nome do site; com --dns, o ID do scan                                                                                                                    |
| `--dns <value>`      | ID do achado a verificar de novo pelos registros DNS públicos (gratuito, nunca contata o site)                                                                 |
| `--no-wait`          | Retorna assim que o scan começar, sem esperar o resultado                                                                                                      |
| `--interval <value>` | Segundos entre as verificações enquanto aguarda (padrão 5)                                                                                                     |
| `--timeout <value>`  | Tempo máximo de espera em segundos (padrão 600, máximo 3600)                                                                                                   |
| `--fail-on <value>`  | Sai com código 8 quando há achados abertos nesta gravidade ou pior: critical, high, medium, low (para CI)                                                      |
| `--lockfile`         | Envia (ou, com --no-lockfile, nunca envia) os nomes e as versões dos pacotes desta pasta nesta execução; caso contrário, o Lockpick pergunta uma vez por pasta |

## lockpick deps

Envia os nomes e as versões exatas dos pacotes deste projeto (nunca código) para um site, e lista os avisos que os afetam. Lê package-lock.json, npm-shrinkwrap.json, pnpm-lock.yaml, yarn.lock, requirements.txt e poetry.lock (exige uma chave com permissão para gerenciar sites).

```bash title="Uso"
lockpick deps <site> [options]
```

| Argumento                | O que faz                                                                                           |
| ------------------------ | --------------------------------------------------------------------------------------------------- |
| `<site>`                 | ID ou nome do site                                                                                  |
| `--path <value>`         | Pasta do projeto com os lockfiles (padrão: esta pasta)                                              |
| `--completeness <value>` | complete, partial ou unknown (padrão unknown; declare complete somente para um inventário completo) |
| `--revision <value>`     | Revisão opcional do código-fonte; não comprova a implantação                                        |
| `--environment <value>`  | production, staging, development ou unknown                                                         |
| `--dry-run`              | Apenas mostra o que seria enviado                                                                   |
| `--forget`               | Esquece a lista de pacotes do site no Lockpick                                                      |

## lockpick monitor

Navega pelos avisos de segurança atuais e pelas correspondências dos sites que você pode ler.

```bash title="Uso"
lockpick monitor [options]
```

| Argumento             | O que faz                                          |
| --------------------- | -------------------------------------------------- |
| `--site <value>`      | Filtra por ID ou nome de site                      |
| `--query <value>`     | Pesquisa IDs de aviso, títulos ou nomes de pacotes |
| `--ecosystem <value>` | all, npm, pypi, composer ou wordpress              |
| `--kind <value>`      | all, vulnerability ou malicious_package            |
| `--view <value>`      | latest, sites, exploited ou following              |
| `--severity <value>`  | all, critical, high, medium, low ou unknown        |
| `--days <value>`      | 7, 30, 90, 365 ou 0 para todo o histórico          |
| `--cursor <value>`    | Próximo cursor de uma resposta anterior            |
| `--advisory <value>`  | Lê um ID de aviso                                  |

## lockpick check

Verificação rápida gratuita de um site (página inicial e DNS público), ou de um repositório público do GitHub antes de instalá-lo: uma skill, plugin, servidor MCP ou app (exige uma chave que possa iniciar Pulses)

```bash title="Uso"
lockpick check <url> [options]
```

| Argumento           | O que faz                                                                                                                                                                                                                     |
| ------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `<url>`             | Endereço do site (atlas.example) ou repositório do GitHub (github.com/owner/repo, owner/repo)                                                                                                                                 |
| `--no-wait`         | Retorna assim que o scan começar, sem esperar o resultado                                                                                                                                                                     |
| `--timeout <value>` | Tempo máximo de espera em segundos (padrão 90, máximo 3600)                                                                                                                                                                   |
| `--deep`            | Para um repositório do GitHub: uma verificação Deep do repositório. Também lê cada lockfile e os últimos 50 commits em busca de chaves vazadas, com uma revisão mais forte. Precisa do plano Deep e usa um escaneamento Deep. |

## lockpick verify

Verifica uma vez que você é dono de um site. Mostra o valor do site e onde publicá-lo; --wait fica procurando por ele (exige uma chave que possa preparar scans Deep)

```bash title="Uso"
lockpick verify <site> [options]
```

| Argumento          | O que faz                                                                     |
| ------------------ | ----------------------------------------------------------------------------- |
| `<site>`           | ID ou nome do site                                                            |
| `--method <value>` | dns (padrão), file ou meta (uma tag no head da página inicial). Padrão `dns`. |
| `--wait`           | Continua procurando por cerca de cinco minutos (usa as verificações da prova) |

## lockpick deep local

Executar verificações locais determinísticas após autorizar o projeto

```bash title="Uso"
lockpick deep local <path> [options]
```

| Argumento                     | O que faz                                                                                                 |
| ----------------------------- | --------------------------------------------------------------------------------------------------------- |
| `<path>`                      | Caminho físico do repositório (pwd -P); sem links simbólicos na raiz                                      |
| `--project <value>`           | ID do projeto ou nome sem ambiguidade                                                                     |
| `--browser-artifacts <value>` | Diretório de artefatos do navegador relativo ao repositório; pode ser repetido                            |
| `--env-file <value>`          | Arquivo de ambiente explícito relativo ao repositório; pode ser repetido                                  |
| `--dockerfile <value>`        | Caminho do Dockerfile relativo ao repositório; repetível                                                  |
| `--migration-file <value>`    | Arquivo de migração SQL relativo ao repositório; repita na ordem de execução                              |
| `--build-context <value>`     | Contexto de compilação relativo ao repositório; associe a --dockerfile na mesma ordem (. para a raiz)     |
| `--checks <value>`            | IDs de verificações separados por vírgulas; verificações solicitadas sem suporte permanecem incompletas   |
| `--history`                   | Incluir inspeção limitada do histórico Git                                                                |
| `--source-maps`               | Inspecionar fontes incorporadas nos mapas de código do navegador fornecidos                               |
| `--fail-on <value>`           | Sai com código 8 quando há achados abertos nesta gravidade ou pior: critical, high, medium, low (para CI) |

## lockpick deep verify

Inicia uma prova de propriedade para um scan Deep: um registro DNS TXT, um arquivo ou uma meta tag na página inicial que você publica (exige uma chave que possa preparar scans Deep)

```bash title="Uso"
lockpick deep verify <site> [options]
```

| Argumento          | O que faz                                                                     |
| ------------------ | ----------------------------------------------------------------------------- |
| `<site>`           | ID ou nome do site                                                            |
| `--method <value>` | dns (padrão), file ou meta (uma tag no head da página inicial). Padrão `dns`. |
| `--wait`           | Continua procurando por cerca de cinco minutos (usa as verificações da prova) |

## lockpick deep check

Verifica uma vez se a prova de propriedade foi publicada (cada verificação usa uma das tentativas)

```bash title="Uso"
lockpick deep check <site> <verificationId>
```

| Argumento          | O que faz                    |
| ------------------ | ---------------------------- |
| `<site>`           | ID ou nome do site           |
| `<verificationId>` | O ID de lockpick deep verify |

## lockpick deep prepare

Prepara um scan Deep com uma prova verificada e abre a página de aprovação; nada começa até você aprovar no Lockpick

```bash title="Uso"
lockpick deep prepare <site> <verificationId> [options]
```

| Argumento          | O que faz                                        |
| ------------------ | ------------------------------------------------ |
| `<site>`           | ID ou nome do site                               |
| `<verificationId>` | O ID da prova verificada                         |
| `--no-browser`     | Mostra o link de aprovação sem abrir o navegador |

## lockpick deep start

Inicia um scan Deep que você aprovou no Lockpick e aguarda (um scan Deep da cota, como indicado na preparação)

```bash title="Uso"
lockpick deep start <operationId> [options]
```

| Argumento            | O que faz                                                                                                 |
| -------------------- | --------------------------------------------------------------------------------------------------------- |
| `<operationId>`      | O ID de lockpick deep prepare                                                                             |
| `--no-wait`          | Retorna assim que o scan começar, sem esperar o resultado                                                 |
| `--interval <value>` | Segundos entre as verificações enquanto aguarda (padrão 5)                                                |
| `--timeout <value>`  | Tempo máximo de espera em segundos (padrão 600, máximo 3600)                                              |
| `--fail-on <value>`  | Sai com código 8 quando há achados abertos nesta gravidade ou pior: critical, high, medium, low (para CI) |

## lockpick findings

Achados de uma execução que precisam de atenção

```bash title="Uso"
lockpick findings <runId> [options]
```

| Argumento            | O que faz                                                                                                 |
| -------------------- | --------------------------------------------------------------------------------------------------------- |
| `<runId>`            | ID da execução                                                                                            |
| `--severity <value>` | critical \| high \| medium \| low \| info                                                                 |
| `--all`              | Inclui verificações aprovadas e não avaliadas                                                             |
| `--fail-on <value>`  | Sai com código 8 quando há achados abertos nesta gravidade ou pior: critical, high, medium, low (para CI) |

## lockpick report

Exporta uma avaliação existente e os seus achados já redigidos em Markdown ou JSON

```bash title="Uso"
lockpick report <runId> [options]
```

| Argumento       | O que faz                                                              |
| --------------- | ---------------------------------------------------------------------- |
| `<runId>`       | ID da execução                                                         |
| `--out <value>` | Cria um novo arquivo de relatório; não sobrescreve arquivos existentes |

## lockpick finding

Mostra um achado com as suas provas

```bash title="Uso"
lockpick finding <runId> <findingId>
```

| Argumento     | O que faz                      |
| ------------- | ------------------------------ |
| `<runId>`     | ID da execução                 |
| `<findingId>` | ID do achado ou seu código LP- |

## lockpick brief

Instruções em Markdown que corrigem tudo o que, em uma execução, precisa de atenção (ou um único achado)

```bash title="Uso"
lockpick brief <runId> [options]
```

| Argumento           | O que faz                                                                                        |
| ------------------- | ------------------------------------------------------------------------------------------------ |
| `<runId>`           | ID da execução                                                                                   |
| `--finding <value>` | Somente este achado                                                                              |
| `--agent <value>`   | Adapta para este agente: claude-code, codex, cursor, vscode, opencode, lovable, bolt, replit, v0 |
| `--out <value>`     | Grava o Markdown neste arquivo                                                                   |

## lockpick fix

Salva as instruções para corrigir tudo em lockpick-fixes.md e mostra o comando que inicia o seu agente nelas

```bash title="Uso"
lockpick fix <runId> [options]
```

| Argumento         | O que faz                                                                                        |
| ----------------- | ------------------------------------------------------------------------------------------------ |
| `<runId>`         | ID da execução                                                                                   |
| `--agent <value>` | Adapta para este agente: claude-code, codex, cursor, vscode, opencode, lovable, bolt, replit, v0 |
| `--out <value>`   | Onde salvar as instruções (padrão: lockpick-fixes.md)                                            |

## lockpick compare

Compara uma nova verificação Pulse com a sua linha de base

```bash title="Uso"
lockpick compare <runId>
```

| Argumento | O que faz                          |
| --------- | ---------------------------------- |
| `<runId>` | ID da execução da nova verificação |

## lockpick import

Lê um arquivo findings.json ou SARIF do Codex Security e o correlaciona com uma execução, na sua máquina

```bash title="Uso"
lockpick import <file> [options]
```

| Argumento       | O que faz                                                                                                                 |
| --------------- | ------------------------------------------------------------------------------------------------------------------------- |
| `<file>`        | Caminho para findings.json ou para um arquivo SARIF 2.1.0                                                                 |
| `--run <value>` | Correlaciona com este ID de execução (omita para apenas ler o arquivo)                                                    |
| `--upload`      | Gera as chaves mínimas de correlação (caminhos de rota, IDs de regra, gravidades) para compartilhar; desligado por padrão |

## lockpick open

Abre uma execução ou um projeto no navegador

```bash title="Uso"
lockpick open <id>
```

| Argumento | O que faz                                        |
| --------- | ------------------------------------------------ |
| `<id>`    | ID da execução, ID do projeto ou nome do projeto |

## lockpick mcp

Executa o servidor MCP via stdio para um agente de código

```bash title="Uso"
lockpick mcp [options]
```

| Argumento              | O que faz                                                      |
| ---------------------- | -------------------------------------------------------------- |
| `--local-root <value>` | Raiz local absoluta para habilitar verificações MCP; repetível |

## lockpick mcp config

Mostra a configuração MCP para claude, cursor, vscode, codex

```bash title="Uso"
lockpick mcp config <client> [options]
```

| Argumento              | O que faz                                                                   |
| ---------------------- | --------------------------------------------------------------------------- |
| `<client>`             | claude \| cursor \| vscode \| codex                                         |
| `--local-root <value>` | Raiz local absoluta para habilitar verificações MCP; repetível              |
| `--hosted`             | Usa o conector OAuth hospedado em vez do servidor stdio local               |
| `--apply`              | Mescla numa configuração do Cursor, VS Code ou Codex, com um backup privado |
| `--file <value>`       | Arquivo de configuração a atualizar com --apply (padrão: o local padrão)    |

## lockpick mcp rollback

Restaura um backup da configuração MCP do Lockpick se ele não tiver mudado desde a configuração

```bash title="Uso"
lockpick mcp rollback <backup>
```

| Argumento  | O que faz                                         |
| ---------- | ------------------------------------------------- |
| `<backup>` | Caminho do backup mostrado por mcp config --apply |

## lockpick skills

Adicione as skills do Lockpick ao seu agente de código (npx skills add promptadvisers/lockpick-skills)

```bash title="Uso"
lockpick skills [options]
```

| Argumento         | O que faz                                                                    |
| ----------------- | ---------------------------------------------------------------------------- |
| `--agent <value>` | Agentes para adicioná-las, por exemplo claude-code,codex (padrão: perguntar) |
| `--global`        | Adiciona para o seu usuário, em vez deste projeto                            |

## lockpick docs

Pesquisa a documentação do Lockpick pelo terminal, ou lista os guias da CLI (--open abre o primeiro resultado)

```bash title="Uso"
lockpick docs [query] [options]
```

| Argumento | O que faz                                                     |
| --------- | ------------------------------------------------------------- |
| `<query>` | O que procurar, por exemplo "corrigir um CSP ausente"         |
| `--open`  | Abre a melhor correspondência (ou o guia da CLI) no navegador |

## lockpick ci init

Escreve um workflow do GitHub Actions (.github/workflows/lockpick.yml) que executa um Pulse a cada release e falha com achados graves

```bash title="Uso"
lockpick ci init <site> [options]
```

| Argumento           | O que faz                                                                                           |
| ------------------- | --------------------------------------------------------------------------------------------------- |
| `<site>`            | ID ou nome do site a verificar                                                                      |
| `--fail-on <value>` | Falha o workflow nesta gravidade ou pior: critical, high, medium, low (padrão high). Padrão `high`. |
| `--file <value>`    | Onde gravar (padrão .github/workflows/lockpick.yml)                                                 |
| `--action`          | Usa a action do Lockpick no GitHub em vez de executar a CLI com npx (prévia)                        |
| `--force`           | Substitui um arquivo de workflow existente                                                          |
| `--dry-run`         | Mostra o workflow em vez de gravá-lo                                                                |

## lockpick ci check

Verifica uma avaliação existente sem iniciar um scan nem consumir cota

```bash title="Uso"
lockpick ci check <runId> [options]
```

| Argumento                 | O que faz                                                                                                 |
| ------------------------- | --------------------------------------------------------------------------------------------------------- |
| `<runId>`                 | ID exato da execução a avaliar                                                                            |
| `--max-age-hours <value>` | Idade máxima desde a conclusão, em horas (opcional)                                                       |
| `--min-coverage <value>`  | Cobertura mínima informada, em percentual; cobertura desconhecida falha (opcional)                        |
| `--fail-on <value>`       | Sai com código 8 quando há achados abertos nesta gravidade ou pior: critical, high, medium, low (para CI) |