Código-fonte, servidores e o que está publicado na internet. Um pentest testa por fora e por amostra — nós lemos todo o escopo contratado e, para cada apontamento, mostramos o arquivo, a linha e a cadeia percorrida da entrada até o efeito. A auditoria roda dentro do seu ambiente: o código não sai de lá.
Conteúdo suprimido. Ou as linhas existem e batem, ou não existem — o rastro não é fingível.
01 · O que define o serviço
Antes de qualquer outra pergunta, todo cliente faz esta: para onde vai o meu código, e o que esse agente pode fazer dentro da minha máquina? É a pergunta certa, e nós faríamos a mesma. Ela não se responde com promessa — se responde com o desenho do serviço, e com o que você pode conferir sozinho, sem depender da nossa palavra.
A auditoria é executada por uma ferramenta de linha de comando que você mesmo instala (detalhe na seção 09), dentro da sua infraestrutura — no seu computador ou no seu servidor. O código não é copiado para fora dela e não passa por servidor nosso.
A auditoria escreve num lugar só: a própria pasta, onde ficam o plano, os parciais e os relatórios finais (Markdown e HTML). Fora dela, cada arquivo do seu software e do seu ambiente permanece exatamente como estava — nada é modificado, movido, apagado nem "melhorado", nem por engano. Uma sonda confere a trava antes de começar; no fim, o sha256 de cada arquivo é comparado com o do início, e o resultado vai no relatório — a conferência é sua.
É um documento que o seu time abre junto com o código e verifica item por item — não um painel com um número, nem um selo. A falha é apontada, não disparada: o caminho está escrito, e a confirmação no sistema rodando fica com o seu time, que é quem pode fazê-la com segurança.
02 · Confidencialidade por construção
O que chega até a SVO durante a execução é o progresso — qual etapa terminou. Nunca o conteúdo, os dados ou os apontamentos.
E quem lê o seu código? O modelo de IA que executa a auditoria — e esse processamento é da Anthropic, na sua conta e sob a política de dados dela: a mesma que já vale quando o seu time usa a ferramenta para programar. Pelos servidores da SVO o seu código não passa.
Do nosso lado: a auditoria roda dentro do seu ambiente, o relatório nasce e fica aí, e o que chega até nós é rótulo de etapa. E o somente-leitura não é pedido ao agente: é imposto por mecanismo. Antes de começar, a auditoria executa duas sondas que testam as próprias travas — se qualquer uma não estiver em vigor, ela para e avisa, em vez de rodar sem proteção. Ao terminar, o sha256 de cada arquivo é comparado com o do início, e o resultado vai no relatório: é assim que você confere que nada foi tocado — por conta, não por promessa.
A desconfiança com agentes de IA é razoável, e não vamos pedir que você abra mão dela. O tráfego que sai da sua máquina é seu — e dá para olhar, com uma ferramenta que é sua também, sem instalar nada nosso — e há equivalente nos dois sistemas:
macOS: LuLu (gratuito) ou Little Snitch — firewall de aplicativo: avisa a cada conexão de saída, diz qual programa e para onde.
Windows: GlassWire faz o mesmo; o Firewall do Windows já registra saída de fábrica; e o TCPView (gratuito, da própria Microsoft) mostra ao vivo cada conexão e o processo dono, sem instalar nada de terceiro. Para ver requisição por requisição: Wireshark ou Fiddler, nos dois sistemas.
Ligue antes de começar e deixe rodando.
Você vai ver dois destinos, e é importante saber disso antes de ligar. Para a Anthropic vai o volume grande: é o seu código sendo lido pelo modelo, na sua conta — o mesmo tráfego que já existe quando o seu time usa a ferramenta para programar. Para a SVO vão mensagens curtas e esparsas: algumas dezenas de bytes cada — um rótulo de etapa e um identificador de sessão. O tamanho sozinho já responde à pergunta: código não cabe em 100 bytes. E se você quiser ler o conteúdo, e não só o tamanho, o Fiddler abre o tráfego cifrado com o certificado dele e mostra cada mensagem por inteiro.
⚠️ Um monitor mostra para onde vai o tráfego e quanto — não lê o conteúdo, que é cifrado — para isso é o Fiddler. E aqui o tamanho já basta: o que vai para a SVO tem dezenas de bytes, e o que vai para a Anthropic é o volume do seu código, indo para onde já vai quando o seu time usa a ferramenta.
É essa a diferença que o monitor torna visível: o seu código é lido por quem tem de lê-lo para auditar, sob o contrato que você já tem — e para a SVO não vai conteúdo nenhum. Não porque prometemos: porque você conferiu.
03 · Do seu lado
04 · Os modelos
O tamanho do sistema define a faixa de preço. O que define o modelo é o que entra no escopo e que acesso existe. Uma auditoria nunca cobre as duas coisas ao mesmo tempo: auditar o software e auditar a máquina são serviços diferentes — Code olha o que o seu sistema faz; Host e MultiHost olham onde ele roda. Quem quer os dois contrata os dois, e a proposta diz o que cada um acrescenta.
Leitura estática completa do escopo contratado: lógica, segurança, tratamento de dados, dependências, configuração. É o ponto de entrada mais comum.
O mesmo código, no seu servidor, sem baixar nada. Enxerga o que uma cópia esconde: a permissão real dos arquivos de configuração, a pasta antiga que continua publicada, o dump de banco esquecido no disco e a diferença entre o que está publicado e o que está versionado. Requisito: o Claude Code precisa rodar dentro do seu servidor — perguntamos isso no orçamento. Não sendo possível, o produto é o Code, e dizemos antes, não depois.
Auditamos a sua fatia — serviços e processos dela, a rota do servidor web, o banco, a configuração e as permissões —, esteja ela em containers ou instalada direto no sistema, sem tocar nos vizinhos. Limite declarado no relatório: a sua fatia herda o risco do host, e esta auditoria não o avalia.
Sistema, firewall, acesso remoto, atualizações, usuários, todos os serviços em execução — em containers ou nativos — e todos os domínios servidos. Vale para servidor com containers e para Linux tradicional: o que define o modelo é a largura, não a tecnologia.
Para quem está em hospedagem compartilhada e não tem shell. Só observação: cabeçalhos, TLS, o que está exposto publicamente. Zero exploração — não invadimos, não derrubamos, não fazemos força bruta. Para provar que o site é seu, você publica um arquivo com o nome que a gente indica e nós o lemos por HTTPS — como na verificação de domínio do Google.
05 · Os dois níveis
Nos dois níveis, todo apontamento enfrenta uma etapa que tenta desmontá-lo antes de entrar no relatório — e o que cai fica listado. O que muda é quem faz esse trabalho.
Leitura linear e completa do escopo contratado — uma auditoria inteira, não uma amostra. Um agente procura, localiza e, na sequência, ele mesmo confronta cada apontamento com o código para julgar se faz sentido.
Vários agentes procuram em paralelo, cada um com uma lente própria, e localizam os apontamentos. Outros agentes julgam — eles não participaram da descoberta e recebem cada apontamento com a tarefa de derrubá-lo. Só sobrevive o que resiste a quem não tem apego a ele.
Quando o Deep não vale. Num sistema pequeno e homogêneo, sem fronteiras internas, o Deep acrescenta pouco. Nesse caso recomendamos o ONE — dizer isso é parte do serviço. Ele rende onde existe fronteira: cliente e servidor, código e banco, uma plataforma e outra, sistema novo convivendo com legado. É nas costuras que mora o que uma leitura linear não vê.
O Share tem apenas o ONE: sem acesso ao servidor não existe profundidade a acrescentar.
06 · O que você recebe
É o que torna o relatório conferível pelo seu time sem depender de nós.
Na auditoria de código, todo apontamento é [ANALISADO] — nada é executado, por definição. O rótulo existe para você nunca confundir o que foi lido com o que foi medido, e para sabermos dizer com todas as letras o que só você pode confirmar no seu ambiente.
O relatório traz ainda o alcance — dentro do escopo, o que foi coberto e o que ficou sem verificar, com o motivo —, a lista de descartados na verificação, e as contagens transversais, que agrupam dezenas de apontamentos em poucas causas-raiz.
O que nós mesmos derrubamos também vai no relatório, com o motivo da queda. Parece contraintuitivo publicar o que não virou apontamento — e é justamente aí que mora o valor: a refutação foi feita com o código na mão, e ela pode não valer no seu ambiente. Se a premissa que derrubou um achado não se aplica ao seu deploy, o seu time vê isso escrito e decide. Um falso negativo escondido é o único erro de auditoria que ninguém descobre.
O relatório é escrito por um modelo de linguagem executando o nosso método na sua máquina. Toda evidência e todo rastro devem ser seguidos e verificados pela sua equipe de desenvolvimento — ou de infraestrutura, nos modelos Host e MultiHost — antes de qualquer correção entrar em produção. Não é formalidade: é para isso que os campos acima existem, e quem confere é quem conserta.
Alguma frase do relatório não ficou clara? Escreva dizendo qual frase — explicamos o que o método quis dizer, porque esse texto é nosso. O que não temos como responder é se o achado procede no seu sistema: nós nunca o vimos, e é exatamente por isso que o relatório entrega o rastro em vez de um veredito. Não nos envie o relatório nem trechos dele — não teríamos como avaliá-los, e ele não deve sair do seu ambiente. Citar a frase basta.
07 · Os dois formatos
O relatório é entregue nos dois, sempre, gravados na sua máquina.
Autocontido, sem depender de nada externo. Imprime, vira PDF, vai para a diretoria ou para um cliente seu.
Versionável junto com o código e legível por máquina tanto quanto por gente. Se o seu time usa IA para ajudar a escrever código, o relatório em Markdown é entregue direto a ela: peça a análise dos apontamentos e um plano de implementação das correções, priorizado como o seu roadmap exigir.
Isso funciona porque cada apontamento traz arquivo e linha, o caminho até o efeito, a consequência e o critério objetivo de "corrigido" — o insumo exato de que uma IA precisa para planejar, em vez de você traduzir um PDF em tarefas na mão.
O ciclo fecha sem passar pela SVO — e nós continuamos sem tocar no seu código. Trate o relatório como material confidencial: ele cita trechos do seu código como evidência.
08 · Acesso e senhas
A auditoria roda dentro do seu servidor, numa sessão aberta por você, com o seu acesso. Senha, chave ou credencial: ninguém aqui pede — nem nós, nem o nosso material, nem o formulário de escopo.
Chave SSH, por exemplo: nenhuma senha é pedida em momento nenhum.
Quem pede a senha é o seu próprio terminal, a cada acesso. Ela não é escrita em arquivo nosso, não é guardada e não chega até nós.
Quando a auditoria precisa saber com qual usuário a aplicação conecta ao banco, nós perguntamos — em vez de mandar abrir o arquivo de configuração. Conferimos a localização e a permissão desses arquivos sem ler os valores dentro deles. Perguntar é melhor que ler segredo.
Se qualquer passo do nosso material pedir a sua senha, o seu IP ou um dump do seu banco: recuse. É erro nosso, e queremos saber.
09 · Onde a auditoria roda
A execução usa o Claude Code, a ferramenta de linha de comando da Anthropic — no terminal do seu computador ou servidor, dentro do VS Code, de editores JetBrains ou de qualquer editor com terminal integrado.
Uma conta Claude paga. O Claude Code não funciona em conta gratuita — e há dois caminhos: assinatura (mensalidade fixa) ou créditos pré-pagos na Anthropic Console, o pay-as-you-go: sem mensalidade, pagando por token consumido. Para uma auditoria avulsa, esse costuma ser o que faz sentido. Configure um limite de gastos no painel antes de começar — com folga, para a auditoria não parar no meio. Se você ainda não tem conta, orientamos na contratação. Não temos acesso à sua conta, não passamos credencial nenhuma e não vemos o seu consumo: quem vê é você, no seu painel. Como instalar e pagar por créditos →
O que você contrata da SVO é o método: o que olhar, em que ordem, o que exigir como evidência, o que descartar e como declarar o alcance. Informamos a ordem de grandeza do consumo antes de começar e orientamos rodar com folga, para a auditoria não parar no meio.
10 · Limites
Nós lemos o sistema e mostramos o caminho até a falha; um pentest faz o contrário, e simula o ataque. Aqui nada é explorado, derrubado ou submetido a força bruta.
Apontamos a correção e quem deveria fazê-la. Alterar o sistema de quem se está auditando é o oposto de auditar.
Os dois são entregues sempre, e o relatório declara, ele mesmo, até onde a leitura chegou e onde não chegou.
O documento serve para o seu time trabalhar — laudo pericial e certificação são outra coisa, e é bom saber disso antes de contratar.
O valor é o mesmo com 3 ou com 300 apontamentos: pagar por quantidade seria o incentivo para inflar a lista.
11 · Second Round
Todo sistema que continua vivo continua mudando: uma correção entra, um patch é aplicado, uma dependência sobe de versão, uma funcionalidade nova é publicada. Cada uma resolve o que veio resolver — e cada uma mexe em código que já estava de pé. É por isso que existem correções de segurança cujo título começa com incomplete fix for: a correção anterior fechou uma porta e deixou a vizinha aberta.
O relatório continua sendo seu para sempre; o estado de segurança, não.
O Second Round é uma segunda auditoria completa do mesmo projeto, no estágio em que ele estiver na hora de rodar — não é uma reconferência do que mudou. Com desconto sobre a tabela, no nível que você escolher.
Uma auditoria mostra o estado de um dia. Quem trata segurança como rotina olha de novo depois que o sistema andou — e é para isso que o Second Round existe, com desconto e sem recomeçar do zero: o método é o mesmo, o alvo é o sistema como ele está agora.
Compra em até 30 dias da primeira compra · execução em até 90 dias da primeira execução · mesma faixa · não acumula com outras promoções.
12 · Investimento
O valor sai de três variáveis, e nenhuma delas é subjetiva. Orçamento sob consulta, fechado antes de qualquer instalação.
O que entra no escopo: código na sua máquina, código no seu servidor, uma aplicação, o seu servidor inteiro ou a visão externa.
ONE ou Deep. Quando o Deep não acrescenta, recomendamos o ONE.
Em código, linhas de código próprio — com as pastas descartadas à vista: bibliotecas de terceiros, código gerado, arquivos de dados e cópias idênticas. Em servidor e site, os serviços auditados e os domínios verificados.
Leva alguns minutos, roda na sua máquina e o resultado é o que vira orçamento.
Teste grátis: a Auditoria Amostra. Só no modelo Code — você baixa e roda sozinho, na sua máquina. Ela procura os problemas críticos mais graves e para nos primeiros que encontrar: não é a auditoria completa, e serve para você ver o método e o formato do apontamento antes de contratar qualquer coisa. Veja o passo a passo. Nos outros modelos não há amostra, e o motivo é simples: eles exigem acesso ao seu servidor, e acesso não se pede de graça a quem ainda não contratou nada. Grátis é a nossa parte: o crédito de IA continua sendo seu (seção 09) — e por ser amostra, ele sai barato.
A medição do porte é feita por você. Em Code e Code Online, com um utilitário que nós fornecemos e cujo código você pode ler — e que nós rodamos também, sobre o mesmo escopo, para conferir. Em Host, MultiHost e Share, o número é declarado por você: nesta etapa não temos acesso nenhum ao seu ambiente, e é isso que torna o orçamento possível sem você entregar nada antes.
Você recebe de volta a indicação de modelo e nível, o que entra e o que fica de fora, e a ordem de grandeza do investimento — antes de instalar qualquer coisa.
Quer preço? → Orçamento. Já tem o número do orçamento e quer fechar? → Pedido. Este formulário abaixo é para conversar sobre o escopo.
🔴 Auditoria de código? Antes de falar do escopo, meça o seu projeto: você baixa um script somente-leitura, roda no seu micro e ele gera um manifesto.json com o tamanho. O script não faz conexão de rede — quem envia o arquivo é você. Depois peça o orçamento na página de Orçamento, que o preço sai sobre o número real. Passo a passo: como medir o seu sistema.
O anexo vai direto para o e-mail e não é gravado em disco nenhum. Mande a saída da medição — nunca o seu código.
Já quer trazer o número? Meça o seu sistema primeiro — leva alguns minutos. Como medir o seu sistema
Prefere e-mail direto? contato@svo.com.br
O relatório é seu e nós não o publicamos. Cada cliente é isolado: nada de um aparece no relatório, na pasta ou na conversa de outro. Segredos eventualmente encontrados — senhas, chaves, tokens — são reportados como exposição, com o valor mascarado, nunca copiados em claro. Depoimento ou estudo de caso só com autorização escrita.