Do ZIP ao relatório

Assim que o pagamento é confirmado chegam dois e-mails: um com os dados do pedido e o link do seu pedido, outro com o kit anexado (SVO-<projeto>.zip). Guarde o link: é por ele que você baixa o kit de novo quando quiser, sem depender de achar o e-mail. Nada é instalado na sua máquina por nós — quem descompacta é você.

Crie uma pasta para esta auditoria e descompacte o ZIP dentro dela. Cada ZIP é uma auditoria — inclusive o mesmo projeto em níveis diferentes (ONE e Deep) fica em pastas separadas:

auditoria\
  ├─ meusite_deep\
  │   └─ svoaudit\     <- o kit desta auditoria
  └─ meusite_one\
      └─ svoaudit\

Quem separa uma auditoria da outra é a pasta de cima. Duas auditorias na mesma pasta compartilhariam o mesmo espaço de trabalho — e uma enxergaria o material da outra.

O seu projeto não entra no svoaudit — ele fica onde já está, em qualquer pasta do seu computador, e a auditoria recebe permissão de leitura para chegar até lá. Com o código dentro do kit, arquivos de instrução que existam nele (CLAUDE.md, AGENTS.md) entrariam no contexto e o auditado passaria a instruir o auditor.

O ALVO.md já está na pasta preenchido por nós: projeto, responsável, token, idioma do relatório, linguagem principal, o escopo que você declarou na medição e o caminho da pasta do seu código — que veio do manifesto.json que você enviou.

🔴 Confira o caminho. Ele é o de quando você mediu; se a pasta mudou de lugar desde então, corrija ali. É o único campo que decide o que será lido — e o kit não deixa passar: se a pasta apontada não for a que foi medida, a auditoria para e diz o motivo.

O que continua em branco é opcional e é decisão sua: pastas que são cópia/versão do mesmo código e o que está assim de propósito. Não chutamos esses campos — um palpite nosso seria aceito sem leitura.

Dentro da pasta svoaudit há o arquivo AUDITAR.bat. Dois cliques nele e pronto — ele abre a sessão do Claude Code na pasta certa e começa. Não há terminal para configurar nem caminho para digitar. Linux ou macOS: bash auditar.sh, da mesma pasta.

A IA que já vem no seu editor — Copilot, Gemini — não serve: ela não fala com o nosso servidor e não carrega as travas do kit.

O Claude pergunta uma vez se você confia nesta pasta (a svoaudit que você acabou de descompactar). Responda que sim: não é formalidade — é essa resposta que liga as travas que vêm no kit, inclusive a que impede escrever no seu código. Depois disso ele segue sozinho.

Pode levar horas. Um projeto de ~18 mil linhas no nível Deep levou cerca de 2 horas. Você não precisa ficar olhando a tela: cada etapa é gravada em disco assim que fecha. Se ele precisar parar — limite de uso da sua conta, queda de conexão, falta de luz —, você abre o AUDITAR.bat de novo e ele continua de onde parou. Nada se perde e nada é refeito.

O relatório é gravado dentro do svoaudit, com o modelo de IA que o produziu registrado no cabeçalho. Ele fica com você — a SVO não recebe cópia. Para nós vai só o nome das etapas concluídas, que é o que permite retomar de onde parou em vez de recomeçar do zero.

Igual ao fluxo de código: o kit e o token chegam por e-mail depois do pagamento. A diferença começa no próximo passo — aqui o kit vai para o servidor, não para a sua máquina.

A auditoria de infra roda dentro do servidor auditado — é lá que estão os containers, os serviços e as configurações reais. Isso exige o Claude Code instalado e autenticado no servidor. O guia LEIA-PRIMEIRO-MODELO2.md, dentro do ZIP, cobre a instalação passo a passo.

Escolha uma pasta que não seja servida pela web. A pasta vai conter o seu token e o relatório com o caminho e a linha de cada falha encontrada — publicada, ela seria baixável da internet com nome previsível. Seria a auditoria criando o pior achado do próprio relatório.

Quem decide é o caminho, não o curl. Dentro da pasta, rode pwd: se o caminho começar pela raiz que o site publica (/var/www/html/…, public_html/…), ela já está publicada — mova para a sua $HOME agora.

Só então, se quiser confirmar de fora, peça o arquivo pela URL correspondente ao caminho onde a pasta realmente está: curl -sI https://seudominio/<caminho>/ALVO.md. Um 200 condena; um 404 não absolve — o curl só testa a URL que você digitou, e caminho adivinhado errado devolve 404 com a pasta exposta em outro endereço. Deu 200? Pare, mova a pasta e peça um token novo: o antigo pode ter sido lido. A própria auditoria refaz essa conferência antes de gravar o relatório.

Aqui o alvo não é uma pasta de código: é o host — ou, no modelo 3, a sua fatia dele (os seus containers, os seus serviços). O escopo delimita o que pode ser observado. E a declaração continua obrigatória: você declara que o servidor é seu, ou que tem autorização escrita para auditá-lo.

O mesmo comando, na sessão aberta no servidor:

"leia o ALVO.md e execute a auditoria"

Aqui a regra somente-leitura pesa ainda mais: em produção não há a quem perguntar no meio da noite, então comando que não é leitura não é executado — fica anotado no relatório como recomendação.

O relatório é gravado na pasta da auditoria, no servidor, e é seu. Baixe-o pelo canal que você já usa para administrar a máquina. A SVO não recebe cópia — só o progresso das etapas.