Para o CTO e o responsável por segurança
Revisamos o backend (a parte do sistema que roda no servidor e ninguém vê) e a API que a sua equipe fez com IA. Você recebe o que ela expõe, o que protege e o que corrigir primeiro.
Você recebe o inventário de rotas e cada achado com sua evidência. O escopo e o prazo vão por escrito antes de começar.
Atualizado em
Não é necessário se o seu sistema não publica nenhuma API nem guarda dados de terceiros. E hoje revisamos APIs em Python com FastAPI.
A tela só mostra o que o design pede, mas a API pode estar entregando muito mais. Quem quer os seus dados chama a API diretamente, sem passar pelo seu app. Em um teste de laboratório da Veracode (edição Spring 2026), 45% das tarefas de código resolvidas com IA sem instruções de segurança saíram com uma falha de segurança conhecida. A Veracode vende análise de segurança.
45%
tarefas de código com IA com falha de segurança conhecida
Veracode, 2026Mais de 150 pontos de controle
Marcas e logotipos dos seus respectivos titulares. O uso aqui é apenas descritivo e não implica relação comercial nem patrocínio.
Em 30 minutos vemos que API você tem e quais dados passam por ela. Depois você recebe por escrito o que é revisado, em qual ambiente e o prazo.
Olhamos o que a sua API publica de fato, além do que o código diz: rotas, campos das respostas, controle de acesso, cabeçalhos e logs.
Você recebe o inventário de rotas e cada achado com sua evidência, e repassamos tudo com a sua equipe. Cada achado diz como verificar.
Prioridade: Alta
A rota de perfil devolve o e-mail e o telefone de outros usuários
Exemplo do formato do relatório, não de um cliente.
Vamos falar sobre o seu caso?
Uma reunião de 30 minutos para ver o que você tem e o que vale revisar primeiro.
As três servem, cada uma para uma coisa. A IA traz o volume e as pessoas, o critério: por isso a nossa revisão usa uma ferramenta automática com IA e é supervisionada por desenvolvedores seniores.
Quem revisa é uma equipe de desenvolvedores seniores, com muitas horas de desenvolvimento e de encontrar as falhas que as IAs cometem ao programar. Conhecemos mais de 1.200 pontos de revisão. A ferramenta automática com IA os percorre, e as pessoas validam, dirigem e revisam.
Equipe de desenvolvedores seniores
Quem responde é José María Salido, fundador da Sondeon
É comparar o que a sua API publica com o que ela deveria publicar: rotas sem proteção, dados a mais nas respostas, cabeçalhos e logs. O nosso health check revisa isso em APIs em Python com FastAPI e no servidor que as publica, junto com o app ou o site que as usa.
Um pentest tenta entrar no seu sistema como faria alguém de fora. Esta revisão percorre o que a sua API publica e compara com o que ela deveria publicar: rotas, campos, acessos, cabeçalhos e logs. Não substitui um pentest.
Serve como evidência técnica do que foi revisado e do que foi encontrado, com a data. Não atesta a conformidade com nenhuma norma nem substitui a assessoria jurídica.
Do endereço da API, de acesso de leitura ao repositório do backend e de uma conta de teste para cada tipo de usuário. A revisão olha e mede: não alteramos nada em produção sem a sua aprovação, e tudo fica escrito no escopo.
Sim, se você nos contratar para isso. Primeiro vem o diagnóstico: cada achado com sua evidência e sua prioridade. A correção é à parte e só se você pedir, e a sua equipe também pode fazer com a lista em mãos.
A reunião de 30 minutos é grátis. O resto depende do número de rotas da API e de quantos tipos de usuário é preciso testar. Vemos isso nessa reunião, e você recebe o escopo e o prazo do nosso health check por escrito antes de começar.
Apps em Flutter feitos com IA, testados em celulares iOS e Android reais por comando e com gestos de toque, junto com o seu backend.
Desempenho, posicionamento em buscadores e em assistentes de IA (SEO e GEO), acessibilidade e segurança do seu site, medidos na página real.
PostgreSQL, Redis, Elasticsearch e RabbitMQ, em somente leitura: estrutura, índices, consultas lentas, bloqueios e conexões.
O servidor onde o seu sistema vai rodar, revisado antes de publicar: quem acessa, o que roda nele e quais limites quebram ao crescer.
As máquinas Linux onde o seu sistema roda, medidas a cada poucos segundos, para ver um disco cheio ou um contêiner parado antes dos seus usuários.
Cada chamada à sua API medida, com sua latência, seu erro e a tela que a pediu, para saber qual endpoint otimizar antes que o tráfego cresça.
Preencha o formulário e escrevemos por e-mail para marcar dia e hora. São 30 minutos para ver o que você tem e o que convém revisar primeiro.