# Como verificamos

O Lockpick lê o que qualquer pessoa online pode ver sobre o seu site, dentro de limites fixos, e relata apenas o que viu.

O Lockpick verifica o seu site de fora, do jeito que um estranho ou um atacante o encontraria. Cada verificação lê o que o seu site já mostra ao público, mais os registros públicos sobre o seu domínio, e mais nada.

## Dentro de limites fixos

Cada tipo de verificação tem um orçamento fixo que não pode ser ultrapassado.

|  | Pulse | Deep |
| --- | --- | --- |
| In plain words | A quick outside look, the way a stranger or a bot sees your site | A careful walk through your site, the way a determined attacker would |
| What we look at | The homepage and the files it loads, email sender settings (SPF and DMARC), security headers and TLS, and public DNS, certificate and subdomain records, in at most 10 requests. | Up to 30 readable pages and 20 scripts, files that should not be public, admin areas, and your API if you have one. If your site builds its pages in the browser, the report says how much Deep could read. |
| How long | Usually under 15 seconds | 2 to 8 minutes |
| Needs proof you own it | No, just confirm you're allowed | Yes, a DNS record, a meta tag or a file, kept published |

* Um Pulse envia no máximo 10 requisições ao seu site, e uma verificação Deep no máximo 200.
* As requisições são espaçadas, e a verificação para cedo se o seu site ficar lento, falhar ou recusar.
* Ler registros de DNS, logs de certificados e o registro do domínio nunca toca o seu site.

## Apenas o que vimos

Um achado só é relatado com a prova que o mostra. Um relatório diz o que cada parte da verificação conseguiu ler, e tudo o que não conseguiu verificar é marcado como não verificado, nunca como aprovado. [Como classificamos os achados](/pt-BR/docs/security/how-we-rate-findings) explica a gravidade, o que um achado confirmado precisa mostrar e o que verificar de novo pode comprovar.

## Primeiro a sua permissão

Cada verificação começa com a sua confirmação de que você é o dono do site ou de que tem permissão para testá-lo. Uma verificação Deep também precisa de [prova de propriedade](/pt-BR/docs/protect/prove-you-own-your-site) e da sua aprovação a cada vez.