# Verifique as correções do Codex Security no seu site publicado

Depois que um assistente de código corrige o seu código, pergunte ao Lockpick se o site publicado ainda mostra o problema, e receba de volta corrigido, ainda aberto ou inconclusivo.

O Lockpick trabalha com o Codex Security. Eles olham metades diferentes do mesmo problema. O Codex Security lê o seu código-fonte e o corrige. O Lockpick verifica o que está realmente publicado na sua URL. Depois de uma correção, sobra uma pergunta: o site publicado ainda mostra o problema? O Lockpick responde.

O Lockpick não é afiliado nem endossado pela OpenAI. O Codex Security é citado aqui apenas para dizer que o Lockpick funciona junto com ele.

## O ciclo

1. O Codex Security encontra um problema no seu código e, depois de `codex-security patch`, propõe ou aplica uma correção.
2. Você publica a correção no site.
3. O Lockpick verifica a URL publicada de novo e devolve um de três estados.

## O que verificar de novo pode comprovar

Uma nova verificação é comparada com a anterior. Cada achado anterior volta como um destes.

* **Corrigido.** O Lockpick leu o mesmo recurso de novo e não observou o achado. É uma afirmação sobre aquele recurso, não um certificado para o site inteiro, e não uma prova de que uma credencial foi rotacionada.
* **Ainda aberto.** O achado continua sendo observado. Se você esperava uma correção, confira se o patch está realmente ativo na URL que o Lockpick testou.
* **Inconclusivo.** O Lockpick não conseguiu verificar desta vez, porque o site bloqueou a verificação, limitou a taxa de requisições ou a profundidade não chegou até ali. Inconclusivo nunca é corrigido.

O Lockpick nunca marca algo como corrigido porque um patch foi mesclado ou um chamado foi fechado. Ele relata apenas o que observou no site publicado.

## Faça pelo seu agente de programação

Conecte o Lockpick ao seu assistente (veja [Codex](/pt-BR/docs/ai/codex) e [permissões](/pt-BR/docs/mcp/permissions)) e peça que ele verifique a correção. A skill `lockpick-fix`, do pacote de skills, guia o assistente pela correção e pela nova verificação.

```text title="Prompt"
I deployed the fix for the SSRF Codex Security found at /api/fetch. Use Lockpick to check the live URL again and tell me if it is fixed, still open or inconclusive.
```

## Faça pela CLI

Verificar de novo exige permissão para iniciar verificações no site e uma chave de CLI com acesso ao Pulse. As verificações Deep também exigem prova de propriedade e aprovação.

Um achado de registro público (DNS) com suporte pode ser relido de graça, e isso não altera a nota.

```bash title="Nova verificação DNS"
lockpick recheck <scan-id> --dns <finding-id>
```

Qualquer coisa acessível por HTTP precisa de uma verificação nova na profundidade do achado, que usa uma verificação da sua cota mensal. Confira o custo antes.

```bash title="Verificar de novo um achado HTTP publicado"
lockpick status
lockpick pulse <site>
lockpick compare <run-id>
```

`lockpick compare` mostra os mesmos três estados para cada achado anterior.

## Traga os achados de código

Para ver os achados de código do Codex Security ao lado dos achados ao vivo do Lockpick, correlacione-os na sua máquina.

```bash title="Correlacionar, nada sai da sua máquina"
lockpick import findings.json --run <run-id>
```

Ele lê um `findings.json` do Codex Security ou um arquivo SARIF 2.1.0, associa cada achado de código aos achados ao vivo na mesma rota e aumenta a confiança quando o Lockpick viu aquela rota responder sem login. Por padrão, nada sobre os achados de código sai da sua máquina. Só um `--upload` explícito monta um conjunto mínimo de chaves de correlação, os caminhos das rotas, os ids das regras e as gravidades, e antes mostra exatamente o que seria compartilhado.