Como classificamos os achados

Cada achado em um relatório do Lockpick traz uma gravidade, um veredito e uma confiança. Eles respondem perguntas diferentes. A gravidade diz quão ruim seria. O veredito diz se vimos tudo. A confiança diz quão forte é a prova. O Pulse e o Deep aplicam as mesmas regras.

Gravidade

A gravidade usa uma escala única, igual no app, na documentação e na API. Da mais grave para a menos grave, ela é Crítico, Alto, Médio, Baixo e Informação. Hoje o Pulse e o Deep classificam os achados até Alto. Crítico é usado para os avisos do Monitor, e um aviso do Monitor sem gravidade publicada aparece como Não avaliado.

Um achado só é classificado como alto quando a verificação mostra um destes casos.

• Dados que qualquer pessoa pode ler. Algo respondeu com dados a uma requisição sem login, sem cookie e sem credencial.
• Um cliente acessando outro. Dados ou ações que atravessam de uma conta ou de um tenant para outro.
• Uma credencial ou sessão exposta. Uma chave secreta, um arquivo de configuração com credenciais ou uma sessão entregue a alguém que nunca fez login.

Tomar posse de um endereço no seu domínio também conta, quando conseguimos ver que o endereço está livre para ser reivindicado. Quem o reivindicar serve páginas no seu domínio real e recebe cookies definidos para todo ele.

Estes nunca são classificados como altos por conta própria.

• Cabeçalhos de segurança ausentes, flags de cookies e lacunas na Content Security Policy
• Configurações de TLS e avisos de certificado
• Divulgação de versão de software e de tecnologia, incluindo uma versão de biblioteca que corresponde a um aviso
• Listagens de diretório, stack traces e páginas de erro
• Redirecionamentos abertos
• Configurações de autenticação de e-mail, como DMARC e SPF

Ainda os relatamos, com gravidade média ou menor, porque são lacunas reais e baratas de fechar. Quando outras evidências observadas completam uma história maior, o relatório conta essa história como uma cadeia de ataque, em vez de elevar o achado isolado.

O que um achado confirmado precisa mostrar

Cada tipo de achado tem uma prova com quatro partes.

Para uma tabela aberta do Supabase, a origem é a chave anon que o bundle do seu cliente entrega por design, o controle mais próximo é a row-level security, o destino é uma leitura sem autenticação que retornou linhas, e o impacto é o que as colunas retornadas guardam.

Um achado é confirmado só quando a verificação observou todas as partes. Quando uma parte foi inferida e não vista, o achado é marcado como precisa de revisão e o relatório diz qual parte ainda está em aberto. Um tipo de achado sem prova definida nunca é confirmado. Um achado é não acionável só quando temos evidência positiva de que a afirmação não se aplica. A falta de evidência nunca basta para isso, e o Pulse e o Deep não registram essa evidência hoje, então os achados deles são confirmados ou precisam de revisão.

A prova que você vê é escrita pelo Lockpick para aquele tipo de achado. Ela nunca cita um segredo, o corpo de uma resposta nem como a verificação foi executada.

Quão certos estamos

• Alta. Uma resposta do seu site mostrou a própria exposição.
• Média. Um registro público ou um padrão no seu conteúdo aponta para ela.
• Baixa. É inferida de cabeçalhos, versões ou do que uma API diz sobre si mesma.

Uma segunda leitura que mostra a mesma coisa de novo sobe a confiança um degrau. Uma segunda leitura que não a mostra desce a confiança um degrau e mantém o achado em revisão.

Como avaliamos a urgência

Cada achado também diz quando corrigir, em quatro níveis. A gravidade diz quão ruim seria. A urgência diz se você deve parar o que está fazendo.

• Corrija já. Pare e corrija hoje. Dados de clientes, contas ou chaves podem ser alcançados. Por exemplo, uma chave vazada, um banco de dados ou API aberto, hashes de senha ou uma cadeia de ataque que observamos.
• Corrija esta semana. Alguém poderia usar isso contra você. Qualquer outro achado alto, e achados médios que podem ser usados diretamente ou com uma vítima, como e-mail que pode ser falsificado.
• Quando puder. Facilita um ataque. Sozinho, não é um ataque. Cabeçalhos de segurança ausentes, atributos de cookies e outras lacunas de proteção, e achados baixos.
• Nada a fazer. Vale saber. Não há nada para corrigir.

Um skill, plugin, marketplace ou servidor MCP não é seu código para corrigir. Você está decidindo se vai instalar, então a verificação diz os mesmos quatro níveis com palavras sobre instalar.

• Não instale ainda. É isso que torna a instalação insegura, um achado crítico que confirmamos ou um que está num hook. Espere uma correção ou escolha outro.
• Verifique antes de instalar. Leia esta parte, ou pergunte ao autor, antes de instalar.
• Vale saber. Não é motivo para esperar. Ajuda saber o que isso faz.
• Nada a fazer. Não há nada para verificar.

Um achado nunca é mais urgente que o veredito no topo. Com Nada arriscado encontrado, cada achado diz no máximo Vale saber. Com Instale com cuidado, um achado diz no máximo Verifique antes de instalar. Só o que torna um repositório Não instale diz Não instale ainda. Um repositório de app mantém as palavras acima, de Corrija já a Nada a fazer.

Ao lado, o cartão diz em uma palavra nosso grau de certeza. Confirmado significa que vimos tudo, ou vimos de novo numa segunda leitura. Provável significa que vimos uma vez, ou que uma parte ainda está em aberto. Possível significa que aponta para um problema que não conseguimos confirmar.

Um grupo de achados é tão urgente quanto seu membro mais urgente. O selo no topo do relatório é o seu cartão mais urgente, então só diz Corrija já quando um cartão diz. A verificação rápida, o Skill Check, os e-mails, a CLI e as ferramentas MCP usam as mesmas palavras. A urgência nunca muda a nota nem a ordem da lista.

O que corrigir primeiro

O relatório lista o que corrigir pela facilidade com que alguém poderia usá-lo, não pelo rótulo de gravidade.

1. Achados que qualquer pessoa pode usar sozinha, primeiro os confirmados
2. Achados que precisam de uma vítima ou de um segundo passo, como um e-mail que pode ser falsificado
3. Lacunas de endurecimento que facilitam o trabalho de um atacante

Dentro de cada grupo, os achados confirmados vêm antes dos que precisam de revisão, a prova mais forte antes da mais fraca e só então a gravidade mais alta.

O que verificar de novo comprova

Verificar de novo compara uma nova verificação com a anterior, e Reler este registro compara uma nova leitura dos seus registros públicos de DNS com o achado anterior. Cada achado anterior termina em um destes três estados.

• Corrigido. O recurso ou registro por trás do achado foi lido de novo, e o achado não estava mais lá.
• Ainda aberto. O mesmo achado foi levantado de novo.
• Inconclusivo. A nova leitura não conseguiu ler aquilo em que o achado se apoia, ou as duas verificações não podem ser comparadas.

Um achado nunca é marcado como corrigido porque um chamado foi fechado ou uma tarefa foi marcada como feita. Remover uma chave exposta do seu site não a revoga, então gere uma nova com o provedor também.