# Monitor Veja novos problemas de segurança nos softwares que os seus sites usam, em linguagem simples, com o que fazer em cada caso. Todos os dias são descobertos novos problemas de segurança em softwares populares. O Monitor acompanha os que afetam o que os seus sites são feitos e diz o que fazer, em linguagem simples. ## De onde vêm os problemas O Lockpick lê estas fontes públicas o dia todo. * **OSV.dev**, uma base aberta de problemas de segurança em pacotes de código aberto. Ela inclui todos os problemas revisados pelo **GitHub Advisory Database**, e o Lockpick mantém uma cópia completa para pacotes JavaScript (npm) e Python (PyPI), incluindo os relatórios de pacotes maliciosos, que é atualizada a cada hora. * O **GitHub Advisory Database** diretamente, com uma checagem rápida a cada hora nos softwares que o Monitor acompanha, para que um problema novo apareça mesmo antes de o OSV.dev copiá-lo. * A lista **Known Exploited Vulnerabilities** da CISA, a agência de cibersegurança dos Estados Unidos. Um problema nessa lista é marcado como **Explorado ativamente**, porque atacantes já o estão usando. * O **EPSS** da FIRST, uma previsão diária da probabilidade de cada problema ser explorado nos próximos 30 dias. Um problema entre os 5% mais prováveis é marcado como **Provavelmente explorado em breve**. * O **Wordfence Intelligence** para o núcleo do WordPress, quando está ativado para o seu Lockpick. Os problemas dele trazem o aviso de direitos autorais da Wordfence e um link para os termos dela. * Os avisos publicados pela **Zero Day Initiative**, pelos ids, títulos e notas de gravidade. * O **National Vulnerability Database**, apenas para uma nota de gravidade quando as outras fontes não a fornecem. Só a partir de uma verificação, o Monitor acompanha Next.js, React, WordPress, Supabase, Clerk, Stripe, Firebase, Auth0, Sentry, Vue, Shopify, Wix, Squarespace, Webflow, Framer. Quando você [envia as versões dos seus pacotes](#affects-you-send-your-package-versions), ele verifica todos os pacotes JavaScript e Python enviados. ## Como um problema é associado ao seu site A sua verificação mais recente de cada site mostra com o que ele é feito, por exemplo Next.js ou WordPress. O Monitor lista um problema para cada site feito com o software afetado. Uma verificação consegue ver a tecnologia, mas normalmente não a versão exata que o seu site usa. Por isso o Monitor diz que um problema **pode afetar você**, nunca que o seu site está vulnerável. Se o seu site já usa uma versão corrigida, nada precisa mudar. ## Afeta você: envie as versões dos seus pacotes Para uma resposta exata, envie os nomes e as versões dos pacotes que o código do seu site usa. O Lockpick então confere cada problema com as versões que você realmente usa, e uma correspondência aparece como **Afeta você**, com a versão que corrige o problema, acima de tudo o que apenas pode afetar você. Um problema do qual as suas versões já estão protegidas sai da sua lista, mesmo que a verificação ainda veja a tecnologia. Só são enviados nomes de pacotes e versões exatas, nunca o seu código, caminhos de arquivos, hashes ou endereços de registros privados. O Lockpick lê `package-lock.json`, `npm-shrinkwrap.json`, `pnpm-lock.yaml`, `yarn.lock`, `requirements.txt` (linhas fixadas) e `poetry.lock`. * No terminal, execute `npx lockpicks deps ` na pasta do projeto. Adicione `--dry-run` para ver exatamente o que seria enviado, e `--forget` para remover a lista do Lockpick. * Quando você inicia um Pulse ou verifica de novo a partir de uma pasta de projeto, a CLI pergunta uma vez se deve enviar as versões e lembra a sua resposta para aquela pasta. `--lockfile` as envia apenas para essa verificação, e `--no-lockfile` pula o envio. * Um agente de programação só as envia quando chama `lockpick_send_dependencies`, depois que você pediu ou concordou. Cada envio substitui o anterior, então depois de uma atualização envie de novo e os problemas corrigidos desaparecem. Um problema que o Pulse ou o Deep também viram no site no ar é marcado como **Visto no site no ar**. Enviar exige uma chave com permissão para gerenciar sites (`lockpick login --sites`) e o direito de gerenciar esse site. ## Leia a página do Monitor Abra **Monitor** na barra lateral do app. O topo da página mostra quantas tecnologias o Monitor acompanha nos seus sites, quantos problemas foram publicados nesta semana, quantos podem afetar você e, depois que você enviar as versões dos pacotes, quantos afetam você. Cinco visões definem o que a lista mostra. Assim que você tiver um site, o Monitor abre em **Para os seus sites**. * **Para os seus sites** lista os problemas dos softwares que os seus sites usam. Os problemas que afetam uma versão que você enviou vêm primeiro, depois os mais urgentes: explorados ativamente, depois prováveis de serem explorados em breve, depois por gravidade. Um problema recebe a marcação **Pode afetar você** quando foi publicado nos últimos 90 dias ou está sendo explorado ativamente, em um site que você ainda não marcou como resolvido. * **Mais recentes** lista todos os problemas que o Monitor leu, do mais novo para o mais antigo, estejam ou não os seus sites usando esse software. * **Exploração** lista apenas os problemas que os atacantes já estão usando. * **Seguindo** lista os problemas das tecnologias que você escolhe seguir para um site. Seguir apenas os adiciona a esta lista. Não envia e-mails urgentes. * **Notícias de segurança** lista notícias recentes de segurança, com cada manchete levando à matéria completa. Pesquise pelo id do aviso, pelo título ou pelo nome do pacote. **Filtros** restringe a lista por idioma ou plataforma, por tipo (vulnerabilidades ou relatórios de pacotes maliciosos), por gravidade e por quanto tempo para trás olhar. **Cobertura das fontes**, no final da página, mostra quando o Monitor falou com cada fonte pela última vez. ## No seu painel O topo do seu painel mostra os mesmos problemas de forma resumida. * **Para os seus sites** lista até cinco problemas, primeiro os que afetam uma versão que você enviou, depois os que podem afetar você, os mais urgentes primeiro. Cada um abre no Monitor. * **O que está acontecendo** mostra notícias recentes de segurança sobre os softwares que os seus sites usam, das publicações de segurança do Node.js e do React, da Vercel, da Cloudflare e da Netlify, do BleepingComputer e do The Hacker News, além dos problemas que a CISA acabou de listar como explorados ativamente. Cada manchete mostra a sua fonte, o título e um pequeno trecho, e leva à matéria completa no site da fonte. O Lockpick nunca copia o artigo. Os dois aparecem em todos os planos. ## Relevante agora em cada site A **Visão geral** de cada site começa com **Relevante agora**: os problemas que importam para aquele site, cada um com uma marcação e no que ela se baseia. * **Afeta você**: uma versão de pacote que você enviou é afetada. Mostra a versão e a versão corrigida. * **Pode afetar você**: a verificação viu o software, mas não a versão dele. * **Visto em uso**: um Pulse ou um Deep encontrou o componente afetado no seu site no ar. * **Explorado ativamente**: atacantes já o estão usando. * **Corrigido**: uma verificação nova não o encontrou mais, ou você enviou uma lista com a versão corrigida. As marcações se limpam sozinhas quando uma nova verificação não encontra mais o problema ou você envia uma lista atualizada, e a faixa guarda um pequeno histórico de quando cada marcação apareceu e saiu. A lista de Sites mostra quantos problemas são relevantes para cada site, um achado ligado a um problema conhecido informa o nome dele no cartão, **Itens para corrigir** pode mostrar apenas esses achados, e **Para os seus sites** no painel pode mostrar apenas o que afeta você ou o que está sendo explorado ativamente. Assistentes de programação leem as mesmas marcações em `lockpick_site_status`. ## O que cada problema informa Abra um problema para ver: * **O que aconteceu**, em duas frases simples; * **O que fazer**, citando a versão corrigida quando a fonte a informa; * **Os seus sites** que usam o software afetado; * a probabilidade de ser explorado em breve (EPSS) e a nota de gravidade (CVSS), quando são conhecidas; * as fontes originais, com os seus ids, se você ou o seu desenvolvedor quiserem os detalhes. As explicações em linguagem simples são escritas por um modelo de IA apenas a partir do texto público do aviso, nunca a partir de algo sobre os seus sites. Cada resposta é conferida com a fonte, incluindo cada número de versão citado. Quando a conferência falha, o Monitor usa um texto fixo. ## Corrija * **Copiar orientações para sua IA** copia instruções para o seu assistente de programação: verificar qual versão o seu código usa, atualizá-la se estiver afetada, rodar os testes e informar o resultado. * **Enviar para meu desenvolvedor** abre um e-mail com os mesmos detalhes. * **Marcar como resolvido** registra, por site, que o problema foi tratado ali, para que ele saia de **Pode afetar você**. **Desfazer** o coloca de volta. Qualquer pessoa que possa revisar os achados de um site pode marcá-lo. ## Alertas Quando um problema novo pode afetar um dos seus sites, todas as pessoas do espaço de trabalho que podem ver os resultados desse site recebem o aviso no **sino** no topo do app. Ao abri-lo, você vai direto para o problema. Apenas problemas publicados nos últimos 14 dias, ou recém-adicionados à lista de explorados ativamente, enviam um alerta, então ligar o Monitor nunca inunda você com notícias antigas. O Monitor também envia por e-mail um **resumo semanal** dos novos problemas, agrupados por site, cerca de 7 dias depois que o primeiro chega. Um novo problema que **afeta** uma versão que você enviou, e que está sendo explorado ativamente ou é provavelmente explorado em breve, é enviado por e-mail na hora, em todos os planos. Todo e-mail diz o que fazer e leva ao problema no Monitor. Para parar esses e-mails, abra **Configurações** e depois **Notificações**, e desligue **Novas vulnerabilidades**, ou use o link de **Cancelar inscrição** em qualquer e-mail do Monitor.