Os necessários fazem o site funcionar. Os outros medem quais páginas ajudam e quais anúncios trazem quem precisa da DM11. Você escolhe, e pode rever pelo rodapé.
SASTACTION® | SECURE CODE REVIEW
Seu cliente pede revisão de segurança do código-fonte feita por terceiro independente, com identificação que ele mesmo possa conferir. O SastAction® é a plataforma de Secure Code Review, a revisão de segurança do código, e entrega essa evidência sem instalar nada no seu ambiente e sem expor o seu código a ninguém.
3
relatórios da mesma análise
0
agentes instalados no seu ambiente
365 dias
de verificação pública do relatório
30 dias
até a eliminação do código enviado
COMO FUNCIONA
Cinco domínios de verificação rodam em paralelo sobre o mesmo pacote de código, cada achado passa por avaliação de risco antes de chegar até você, e a inteligência artificial entra depois disso, para explicar e estimar esforço.
Você solicita a análise por formulário e recebe um link de upload de uso único, que expira assim que o envio termina. Nada é instalado no seu ambiente, não há agente e não há integração obrigatória com a sua esteira de desenvolvimento. O código é processado em containers isolados, sem saída de rede, e eliminado em 30 dias.
A mesma cópia do código passa por análise estática do código-fonte, detecção de segredos e credenciais esquecidas, dependências de terceiros, configuração de infraestrutura e de containers, e segurança de aplicativo móvel quando se aplica. Cada domínio é coberto por mais de um motor especializado, e os resultados são deduplicados por arquivo, linha e tipo de falha antes de entrar no relatório.
A ordem dos achados nasce da combinação entre probabilidade e impacto técnico. Nos achados de dependência entram o EPSS (Exploit Prediction Scoring System, a probabilidade estatística de uma falha ser explorada) e o catálogo KEV (Known Exploited Vulnerabilities, a lista da agência de segurança cibernética dos Estados Unidos com o que já está sob exploração ativa). As bases são sincronizadas antes de cada execução e a data delas fica registrada no relatório.
O modelo roda dentro do nosso ambiente, e o seu código não vai para nenhum provedor de inteligência artificial de terceiro. A classificação de risco é calculada por regra determinística, e a IA entra depois dela, em campos separados: leitura de negócio do achado, correção sugerida e esforço estimado. Cada geração fica registrada com hash de entrada e de saída, e existe uma trava fixa: achado com exploração ativa conhecida não pode ser descartado como falso-positivo por nenhum modelo.
O técnico traz cada vulnerabilidade com arquivo, linha, trecho de código com a linha vulnerável destacada, classificação CWE (Common Weakness Enumeration, o catálogo internacional de tipos de falha, incluindo o CWE Top 25) e OWASP, leitura de negócio e correção com esforço estimado. O executivo fala a língua da diretoria: score de risco, distribuição por severidade, categorias mais frequentes, arquivos mais afetados e recomendação priorizada. O público circula fora da empresa, sem código e sem detalhe de vulnerabilidade.
O relatório público traz QR code e hash impressos na capa. Seu cliente, seu auditor ou o time de compras do banco abre a página de validação e confirma a autenticidade sem login, sem cadastro e sem custo, por 365 dias. Ele vê apenas metadados: data, sistema, linhas analisadas, contagem por severidade e as verificações executadas nesta análise.
ANTES E DEPOIS
Conte o contexto do seu projeto e receba a proposta com o escopo da análise. Se preferir ver antes como a prova chega ao seu cliente, mostramos um relatório público e a página onde ele é validado.