Como o Lockpick verifica um site
O que o Pulse e o Deep analisam, o que deixam de fora e como ler um resultado.
Assista ao passo a passo
Quatro minutos com o Pick, desde adicionar o seu site até entregar a correção para a sua IA. As legendas aparecem na tela, então funciona com o som desligado.
Ler a transcrição
- 0:00 Conheça o Lockpick
- O Pick apresenta o Lockpick. Ele lê o seu site no ar de fora, como um estranho faria, e nunca precisa do seu código.
- 0:44 Adicione o seu site
- Adicione o seu site pelo endereço e confirme que você é o dono dele ou que tem permissão para testá-lo.
- 1:26 Sua primeira varredura
- Execute a sua primeira varredura Pulse. Ela lê a sua página inicial e registros públicos, geralmente em menos de 15 segundos, e não altera nada no seu site.
- 2:19 Leia o seu relatório
- Leia a nota, depois cada achado em linguagem simples, com as evidências por trás dele e o que alguém poderia fazer com ele.
- 3:10 Corrija com a sua IA
- Copie o prompt de correção de um achado para o seu assistente de programação, revise e teste a mudança e depois clique em Verificar de novo para confirmar a correção.
Pulse e Deep
Duas profundidades do mesmo olhar externo. O Pulse é gratuito em todos os planos. O Deep vem com o plano Deep e vai muito mais fundo, em sites cuja propriedade você já comprovou.
Pulse
Uma análise rápida de fora, do jeito que um estranho ou um bot enxerga o seu site
- O que analisamos
- A página inicial e os arquivos que ela carrega, as configurações de remetente de e-mail (SPF e DMARC), os cabeçalhos de segurança e o TLS, e os registros públicos de DNS, certificado e subdomínios, em no máximo 10 requisições.
- Quanto tempo leva
- Geralmente menos de 15 segundos
- Precisa de prova de propriedade
- Não, só confirme que você tem permissão
Deep
Uma análise cuidadosa do seu site, do jeito que um atacante determinado faria
- O que analisamos
- Até 30 páginas legíveis e 20 scripts, arquivos que não deveriam ser públicos, áreas administrativas e a sua API, se você tiver uma. Se o seu site monta as páginas no navegador, o relatório informa quanto o Deep conseguiu ler.
- Quanto tempo leva
- De 2 a 8 minutos
- Precisa de prova de propriedade
- Sim, um registro de DNS, uma meta tag ou um arquivo, mantido publicado
Nenhum dos dois altera nada no seu site.
Do achado à correção
Toda varredura termina no mesmo ciclo, para que você saiba quando um problema foi realmente resolvido.
Varredura
Execute uma varredura Pulse ou Deep, ou deixe uma verificação automática semanal executar uma para você.
Leia o achado
Cada achado diz, em linguagem simples, o que está aberto, o que alguém poderia fazer com isso e a evidência que encontramos.
Entregue a correção à sua IA
Copie o prompt de correção para Lovable, Bolt, Replit, Cursor ou Claude Code. Revise e teste a alteração antes de implantá-la.
Verifique de novo
Verificar de novo executa a mesma varredura para confirmar a correção. Ela usa uma varredura da cota do mês.
Para um achado de DNS, Reler este registro lê o registro público de novo, sem custo e sem uma nova varredura.
Verificações automáticas semanais
Ative uma verificação automática e o Lockpick varre seu site uma vez por semana, depois envia por e-mail a nota, o que foi corrigido, o que é novo e a primeira coisa a corrigir. O plano Free verifica semanalmente com o Pulse. O plano Deep verifica semanalmente com o Pulse ou o Deep.
Cada verificação automática usa uma varredura da cota do mês, igual a uma varredura que você inicia. Quando as varreduras acabam, as verificações automáticas aguardam a renovação e avisam você por e-mail.
Perguntas
Quais sites posso avaliar?
Somente sites que pertencem a você ou que você tem autorização para testar. Confira a origem HTTPS exata antes de começar. A permissão para um site não inclui outros domínios, infraestrutura de hospedagem compartilhada ou serviços de terceiros.
Preciso entender de segurança?
Comece pela explicação em linguagem simples e consulte as evidências se precisar de mais detalhes. Seu agente de programação pode ajudar com a correção, mas você deve revisar e testar a mudança proposta.
O meu agente de programação executa a varredura?
O Lockpick executa a varredura na própria infraestrutura. O seu agente de programação pode ajudar a aplicar o prompt de correção no seu repositório. Os resultados mostram as evidências e os próximos passos. Fluxos de trabalho privados e registros internos não fazem parte do relatório.
O que o Pulse analisa?
A página inicial e os arquivos que ela carrega, as configurações de remetente de e-mail (SPF e DMARC), os cabeçalhos de segurança e o TLS, e os registros públicos de DNS, certificado e subdomínios, em no máximo 10 requisições. Ele não faz login, não envia formulários, não acessa o seu banco de dados e não comprova que os papéis de usuário estão isolados. O Deep vai além, com até 30 páginas legíveis e 20 scripts, além da sua API, depois que você comprova que é o dono do site. Quando um site monta as páginas no navegador, o relatório mostra quanto o Deep conseguiria ler.
O Lockpick respeita o robots.txt?
O Pulse lê uma página, a página inicial que um visitante abre, e os arquivos que ela carrega, do mesmo jeito que o navegador de um visitante faria. Ele também lê o robots.txt, o seu sitemap e o security.txt, e nunca rastreia nenhuma outra página. O Deep lê o robots.txt apenas para descobrir páginas. A diretiva Sitemap e as rotas que ele cita orientam o que o Deep verifica, mas o Deep ainda solicita rotas que o arquivo proíbe, porque o robots.txt é um pedido a rastreadores bem-comportados, não um controle de acesso. O Deep roda apenas em sites cuja propriedade você já comprovou.
Um resultado sem problemas significa que minha aplicação é segura?
Não. Significa que as verificações concluídas não observaram problemas na resposta analisada. Verificações incertas e áreas não testadas continuam visíveis. Uma análise da página inicial pública não pode comprovar a segurança de toda a aplicação.
O Lockpick vai alterar meu código?
Nenhuma alteração é feita automaticamente. Revise o prompt de correção com seu agente de código, teste a correção proposta e decida se quer implantá-la. Copiar um prompt não resolve um achado. Verifique de novo para comparar novas evidências.
O que acontece se a varredura parar cedo?
Se uma varredura parar cedo, o relatório marca quais verificações terminaram e quais não terminaram. Um resultado parcial nunca aparece como limpo.
Posso guardar os resultados para sempre?
Os relatórios ficam no seu workspace até você excluí-los ou encerrar sua conta. Nunca coloque senhas, tokens de acesso ou dados de clientes em uma URL de alvo ou em um briefing de correção.
Fontes
A contagem de vulnerabilidades ao vivo na página inicial parte do Zero Day Clock, que contou 57.871 CVEs publicadas de janeiro a agosto de 2026. Nós a estendemos na mesma taxa diária.
Veja o que o seu site mostra
Comece com um olhar gratuito na sua página inicial e depois decida até onde ir.