Eu escrevi as implementações de referência do Pix, do Open Finance e do DICT — sistemas onde errar em segurança não é opção. Agora eu procuro o que está exposto na sua aplicação, antes que vire incidente.

_{São Paulo, BR — remote-first}

Eu sou o time de dev que escreveu segurança em produção. Desenvolvedor Java/Spring, autor de implementações de referência dos sistemas financeiros regulados brasileiros — Pix Automático, Pix por Aproximação, Open Finance (PISP), DICT, Open Insurance —, com mTLS ICP-Brasil, FAPI, arquitetura hexagonal e teste. São 6 repositórios públicos aqui do lado; abra qualquer um. Essa é a régua que eu trago para a sua aplicação: minhas recomendações de correção cabem no sprint do time — porque eu já estive do lado que teria que aplicá-las.

Hoje atuo com segurança de aplicações web (AppSec): diagnóstico e correção de vulnerabilidades, hardening e prevenção em sistemas expostos na internet — cabeçalhos de segurança, TLS/PKI, cookies, CORS, exposição de arquivos, DNS/e-mail e superfície de injeção — tudo mapeado ao OWASP Top 10 e à LGPD (art. 46).

Sem OSCP, sem CEH, sem cliente famoso para citar. A minha credencial é auditável: cinco ferramentas abertas, com teste e CI verde, e o auto-scan do meu próprio site publicado com a nota que deu. E eu não vendo ferramenta-milagre — nenhum scanner sozinho vence, o gitleaks é mais enxuto que o meu e eu digo isso em voz alta. O que você contrata não é o scanner: é o método, a triagem que separa o real do ruído, a correção e o laudo datado.

Precisa saber onde a sua aplicação web está exposta — e como corrigir? › Falar agora no WhatsApp — me diga em uma linha qual é a aplicação e o contexto. Ainda medindo? Rode o Sentinela no seu domínio; se a nota vier abaixo de B, me manda o relatorio.json e a conversa já começa no seu achado, não no meu discurso.

Um portfólio de ferramentas de segurança de aplicações — cada uma cobre uma frente do OWASP Top 10, do perímetro à autenticação, dos segredos vazados à cadeia de suprimentos. Todas com testes, CI e documentação de nível de produto: a ferramenta é a prova do critério técnico. Os números desta seção não são folheto — rode você mesmo, em dois comandos por repositório.

A fronteira PRO · privado, sem letra miúda. O motor que está aberto é o mesmo que eu rodo no serviço — byte a byte. Nada sai do público: o que é gratuito hoje continua gratuito, para sempre. A edição Pro nunca tira — ela só acrescenta, e sempre diz por quê:

• No Sentinela, acrescenta código: o motor ativo que confirma a falha em vez de só apontá-la. Ele emite requisição contra o alvo — por isso só roda com autorização por escrito, não num binário que qualquer um baixa.
• Nas outras ferramentas, o motor é idêntico ao que você baixa; o que a Pro acrescenta é o serviço — a triagem que diz quais achados são reais, a correção aplicada, o laudo datado — mais o acervo de regras que eu mantenho semana a semana.
• O Laboratório é a exceção: é sala de aula, aberto por inteiro; ali a camada Pro é a mentoria conduzida, não um motor.

Detectar é de graça. Corrigir é trabalho — e trabalho é o que eu vendo.

_{E onde eu perco? Publiquei o benchmark honesto contra gitleaks, trufflehog e zizmor — versões e commits fixados, reproduzível, e diz onde o incumbente é mais enxuto que eu. Nenhum scanner sozinho vence; o que eu vendo é a calibração de baixo falso-positivo e o trabalho em cima do resultado.}