Vibe Guardian, uma ferramenta para verificar o estado básico de segurança de um site com apenas uma URL
(vibe-guardian.com)Hoje em dia, com a popularização do vibe coding e o ritmo acelerado de criar e colocar coisas no ar,
parece que as configurações básicas de segurança muitas vezes acabam ficando em segundo plano.
Olhando para os incidentes grandes e pequenos que realmente acontecem,
percebi que muitas vezes eles são bem mais simples do que hacks complexos.
- chaves de API expostas, configuração de CORS, arquivos
.envpúblicos, exposição de logs importantes etc.
(esse tipo de incidente acontece bastante por falhas nessas configurações básicas)
Por isso, criei uma ferramenta em que basta inserir uma única URL
para verificar rapidamente o estado básico de segurança de um site
e checar pontos que podem se tornar problemas.
Não é um serviço que oferece segurança perfeita,
mas pelo menos o foco é evitar que aconteçam incidentes
como falhas em configurações básicas ou exposição de chaves.
Depois que você organiza as configurações básicas de segurança uma vez,
acaba podendo reutilizá-las em outros projetos,
então acho que vale a pena fazer uma checagem pelo menos uma vez após o deploy.
[Website]
Além disso, como há muitos desenvolvedores por aqui, imagino que isso não aconteça com frequência, mas às vezes vejo casos de pessoas criando serviços com vibe coding e chamando APIs de IA diretamente do front-end.
Como a chave do .env passa uma impressão de segredo, acho que quem não é desenvolvedor pode acabar se confundindo.
Mudando um pouco de assunto, eu mesmo já tive a experiência de criar um servidor proxy na AWS e pensar: “é só um IP que nem é público, como alguém descobriria?”, então deixei aberto sem autenticação/segurança adicional. Já no dia seguinte, recebi um e-mail da AWS por causa de sinais anormais. Em apenas um dia, houve um volume enorme de tráfego... Ainda bem que a AWS deixou passar a situação para mim T_T
Na prática, senti que a detecção e o acesso acontecem muito mais rápido do que se imagina.
5 comentários
Com base no Claude Code Opus4.7, comparando os resultados dos testes do código do meu projeto com os do link real idêntico, a maioria dos resultados desse site parece ser falso positivo..
Parece um bom serviço!
A única preocupação é que eu gostaria de ter alguma garantia de que, após inserir a URL para identificar problemas de segurança, esse histórico não será mantido. Seria bom haver ao menos uma frase dizendo que não armazenam registros do meu site nem dos problemas de segurança.
Obrigado :) Acho que sua preocupação é com um possível ataque; vamos considerar esse ponto com bastante cuidado também~!
Obrigado~! Não sabia que existia esse tipo de serviço haha, vou cadastrar! !