Glossário

Checagem rápida: Uma olhada gratuita em uma página inicial, com pontuação de 0 a 100 e nota de A a D em cerca de dez segundos. Não precisa de conta e não usa nenhuma varredura.
Pulse: A varredura gratuita para contas conectadas. Geralmente leva menos de 15 segundos e analisa sua página inicial, configurações de e-mail, configurações de segurança e registros públicos da forma como um estranho ou um bot faria.
Varredura Deep: A varredura mais profunda. Percorre até 30 páginas do seu site da forma como um atacante determinado faria, e exige comprovação de que você é dono do site.
Master Key: Um teste que entra no seu app com duas contas de teste para verificar se um usuário consegue ver os dados de outro usuário. Em breve.
Verificação automática: Uma varredura que o Lockpick faz para você em uma agenda, toda semana nos planos Free e Deep, com o resultado enviado por e-mail.
Varreduras restantes: O que sobra das varreduras deste mês no seu plano. A CLI e a API ainda as chamam de créditos.
Varreduras bônus: Varreduras extras além do seu plano, por exemplo por convidar um amigo ou pelo acesso antecipado. Elas aparecem separadas das varreduras do plano.
Nota: Uma letra de A a D que resume o quanto seu site está exposto, a partir de uma pontuação de 0 a 100.
Algo a corrigir: Algo que uma varredura encontrou e que facilita um ataque. Os desenvolvedores chamam isso de achado.
Gravidade: O quanto um item a corrigir importa, numa escala única: Crítica, Alta, Média, Baixa ou Informativa. Hoje Pulse e Deep classificam até Alta, e os alertas do Monitor podem ser Críticos.
Quando corrigir: Com que urgência tratar um achado. Corrija já significa que dados de clientes, contas ou chaves podem ser alcançados. Corrija esta semana significa que alguém poderia usar isso contra você. Quando puder significa que facilita um ataque. Nada a fazer significa que só vale saber. Para um skill, plugin ou servidor MCP que você está pensando em instalar, os mesmos níveis dizem Não instale ainda, Verifique antes de instalar, Vale saber e Nada a fazer.
Evidência: O que a varredura realmente viu que mostra o problema, como um cabeçalho ou um registro público, com qualquer dado sensível ocultado.
Cobertura: O que a varredura conseguiu verificar. Nada que ela não conseguiu verificar é contado como aprovado.
Feito no navegador: Um site cujas páginas são montadas por código que roda no navegador do visitante, como acontece com muitos apps React. O Pulse lê o que o seu servidor envia, então enxerga menos desses sites, e a aba Escopo do relatório diz o que ficou de fora.
Verificar de novo: Uma nova varredura do mesmo tipo no mesmo site, comparada com a anterior. Sempre usa uma varredura. A CLI chama isso de recheck.
Reler este registro: Uma releitura gratuita e instantânea dos seus registros públicos de DNS, certificado e domínio referentes a um problema. Não envia nada ao seu site e não usa nenhuma varredura.
Comprovar que você é dono do site: A etapa única que o Deep exige. Você adiciona um registro DNS, uma meta tag ou um arquivo que só o dono do site consegue publicar, e o Lockpick procura por ele antes de cada varredura Deep.
Declaração: Sua confirmação de que é dono de um site ou de que tem permissão para testá-lo. O Lockpick pede essa declaração antes de cada varredura.
Monitor: O Lockpick acompanhando problemas de segurança publicados em softwares usados pelos seus sites, como Next.js ou WordPress, e avisando quando um deles pode importar para você.
Aviso de segurança: Um comunicado público sobre um problema de segurança em um software, geralmente indicando a versão que corrige o problema.
Pode afetar você: Seu site usa o software citado no aviso, mas não conseguimos ver qual versão está em uso. Se o seu site já roda uma versão corrigida, nada precisa mudar.
Afeta você: As versões de pacotes que você enviou ao Lockpick incluem uma versão afetada. Atualize para a versão indicada no aviso.
Explorado ativamente: Atacantes já usam este problema contra sites reais. Trate estes primeiro.
KEV: A lista de Known Exploited Vulnerabilities da CISA. A CISA é a agência de segurança cibernética do governo dos EUA, e a lista traz problemas que atacantes estão usando agora.
CVE e GHSA: Identificadores públicos de um problema de segurança conhecido, como CVE-2025-55182. Um identificador GHSA é o id do GitHub para o mesmo tipo de aviso. Eles servem apenas para pesquisar um problema.
RCE: Execução remota de código. Um problema que permite a um atacante rodar o próprio código no seu servidor, um dos tipos mais graves.
Registros públicos: Informações sobre o seu domínio que qualquer pessoa pode consultar, como seus registros DNS, logs de certificados e dados de registro. Não têm relação com registros judiciais ou governamentais.
DNS: A lista de endereços da internet. Ela diz onde ficam o seu site e o seu e-mail, e qualquer pessoa pode lê-la.
Subdomínio: Um endereço abaixo do seu domínio, como loja.exemplo.com.br em exemplo.com.br. Os logs de certificados os listam, então qualquer pessoa pode encontrá-los.
Registro TXT: Um registro DNS que guarda uma linha de texto. Configurações de segurança de e-mail e comprovações de propriedade usam esse tipo de registro.
SPF: Um registro DNS que lista quais servidores podem enviar e-mails em nome do seu domínio.
DKIM: Uma assinatura nos seus e-mails que comprova que eles realmente vieram do seu domínio.
DMARC: Um registro DNS que diz aos provedores de e-mail o que fazer com mensagens que falham em SPF ou DKIM, como rejeitá-las.
Certificado HTTPS: O que permite que os navegadores se conectem ao seu site de forma privada e confirmem que ele é realmente seu. Todo certificado aparece em logs públicos.
Cabeçalhos de segurança: Instruções que o seu site envia com cada página para que os navegadores bloqueiem ataques comuns.
Content Security Policy: Um cabeçalho de segurança que diz aos navegadores quais scripts podem rodar na sua página.
HSTS: Um cabeçalho de segurança que diz aos navegadores para usar somente HTTPS com o seu site.
CORS: As regras que decidem quais outros sites podem ler dados do seu site no navegador de um visitante.
Mapa de origem: Um arquivo que transforma o código compactado do seu site de volta em código-fonte legível. Se ficar público, pode revelar como o seu app funciona.
Arquivo exposto: Um arquivo que nunca deveria estar público, como um arquivo de configurações ou um backup, e que qualquer pessoa pode baixar.
Sequestro de subdomínio: Quando um subdomínio ainda aponta para um serviço que você deixou de usar, e alguém pode reivindicá-lo e exibir a própria página.
robots.txt: Um arquivo no seu site que indica aos visitantes automatizados quais páginas ignorar. O Lockpick segue esse arquivo para cada página que descobre, e ainda lê a página que um visitante abre e os arquivos que ela carrega.
Agente do usuário: O nome que um programa informa ao visitar o seu site. As varreduras do Lockpick enviam o de um navegador comum e comprovam que são do Lockpick com um cabeçalho Signature-Agent assinado.
Resumo de correções: Todas as correções de uma varredura reunidas em um único documento, escrito para um desenvolvedor ou um assistente de programação.
Prompt de correção: Instruções para uma correção que você cola em um assistente de programação, como Claude Code ou Cursor. Cada item a corrigir tem o seu, e você pode editá-lo antes de copiar.
MCP: O Model Context Protocol, o padrão que assistentes de IA usam para se conectar a ferramentas como o Lockpick.
OAuth: O padrão usado para permitir que um app atue em seu nome sem entregar a sua senha. Os assistentes entram no Lockpick por meio dele.
CLI: O Lockpick no seu terminal, o comando lockpick, instalado pelo npm como lockpicks.
Chave de API: Um segredo, como uma senha para um programa, que permite a um software usar uma conta em outro serviço. A chave de API do próprio Lockpick permite que a CLI ou as varreduras de release usem a sua conta do Lockpick. A CLI recebe uma quando você entra.
Projetos e execuções: A CLI, a API e alguns endereços da web ainda usam project para um site e run para uma varredura. Os significados são os mesmos.