Sua IA construiu o app.
Nós verificamos se ele vaza.
Milhões de pessoas publicam apps que não escreveram totalmente — e esses apps vazam chaves de API, expõem bancos de dados e rodam sem proteção. Cole uma URL e receba um relatório de segurança em segundos.
Seis formas como apps vibe-coded vazam dados
Chaves de API e segredos expostos
Lemos suas páginas e cada arquivo JavaScript com mais de 50 formatos de chave — OpenAI, Anthropic, Stripe, AWS, Supabase, GitHub, URLs de banco de dados e mais.
Regras do Supabase e Firebase
O vazamento n.º 1 do vibe coding. Detectamos seu backend e verificamos se qualquer pessoa pode ler tabelas, coleções ou arquivos — sem fazer login.
Falhas de autenticação e sessão
Cookies sem HttpOnly/Secure/SameSite, CORS perigoso, formulários de login inseguros e chaves de serviço que ignoram todas as proteções.
Endpoints abertos e arquivos vazados
Procuramos arquivos .env, diretórios .git expostos, dumps de banco de dados, consoles de administração e arquivos de configuração que nunca deveriam ser públicos.
Inteligência de CVE e malware ao vivo
Bibliotecas e lockfiles são verificados ao vivo no OSV.dev, CISA KEV e EPSS, além de mais de 960 testes de CVE e exposições somente leitura que crescem todos os dias.
Riscos de IA, MCP e CI/CD
Chaves de LLM no navegador, servidores MCP sem autenticação, bypass do middleware do Next.js e injeção de scripts no GitHub Actions.
Da URL ao relatório em três passos
- 01
Escolha um alvo
Cole a URL do seu app no ar, ou um repositório do GitHub — público, ou privado com um token somente leitura. Tudo grátis, sem conta.
- 02
Varredura leve ou profunda
O SafeVibe percorre seu site como um visitante e mostra os problemas ao vivo enquanto analisa cada página. A varredura profunda adiciona sondas ativas quando você prova que o site é seu.
- 03
Receba seu relatório
Um relatório com nota, gravidade, evidências mascaradas e a correção exata para cada achado.
Um scanner que melhora todos os dias
O SafeVibe mantém uma biblioteca permanente de testes de segurança. Vulnerabilidades conhecidas viram testes uma única vez, com código determinístico — sem IA, sem adivinhação. A cada hora a biblioteca só acrescenta o que é novo. A IA fica reservada para pesquisar vulnerabilidades para as quais ninguém escreveu um teste ainda.
- 1
Coletar
A cada hora o SafeVibe lê fontes públicas de vulnerabilidades: ProjectDiscovery nuclei-templates, o catálogo da CISA de vulnerabilidades exploradas ativamente, OSV.dev e FIRST EPSS.
- 2
Converter uma vez
Cada vulnerabilidade vira teste uma única vez e é registrada. Tudo o que atacaria um site — exploits, cargas maliciosas, força bruta — é rejeitado para sempre.
- 3
Crescer de forma incremental
As sincronizações seguintes só processam o que é novo ou mudou na origem, retiram testes excluídos e atualizam quais vulnerabilidades estão sendo exploradas ativamente.
- 4
IA para o que é novo
Vulnerabilidades recém-publicadas sem teste vão para o pesquisador de IA, uma única vez cada. Toda proposta é revisada antes de chegar às suas varreduras.
Salvaguardas em cada teste
Uma única requisição GET ou HEAD, sem corpo, sem carga de ataque, critérios específicos do produto e uma bateria completa de testes antes de publicar.
Inteligente na varredura
O SafeVibe identifica sua stack (Next.js, Supabase, WordPress…) e só executa os testes que se aplicam. Páginas de fallback de apps de página única nunca contam como achado.
Inteligência ao vivo também
Cada varredura verifica as bibliotecas no OSV.dev; CVEs exploradas ativamente são priorizadas e ordenadas pela probabilidade de exploração (EPSS).
Claude, usado onde faz diferença
O SafeVibe usa o Claude Opus 5.5 da Anthropic (modelo claude-opus-5-5) pelo SDK oficial da Anthropic, com respostas restritas por um esquema. Ele tem duas funções — e nunca verifica de novo o que a biblioteca de testes já conhece.
Pesquisador de ameaças com IA
- Pega as CVEs recém-adicionadas ao CISA KEV que ainda não têm teste e, toda semana, pesquisa na web vulnerabilidades recém-publicadas na stack do vibe coding.
- Lê os avisos de segurança e redige um teste passivo — ou explica por que não existe teste seguro.
- Cada CVE é pesquisada uma única vez; um identificador CVE só é aceito se aparecer em resultados de busca reais.
- Suas propostas seguem regras mais rígidas que os testes da comunidade e são revisadas antes de serem publicadas.
Analista de IA
- Revisa o código do seu site em busca de falhas de lógica que as regras não veem: autorização só no navegador, APIs de administração ocultas, consultas ao banco sem filtro.
- Os segredos são mascarados antes de qualquer envio; o conteúdo do seu site é tratado como não confiável (proteção contra injeção de prompt).
- Um achado só é mantido se citar código que realmente existe no seu arquivo.
- O SafeVibe testa por conta própria, sem credenciais, as APIs apontadas, e só relata se a resposta comprovar um vazamento.
Grátis e feito para uso responsável
Todas as varreduras são grátis e sem conta. Varreduras passivas só leem o que qualquer navegador baixa. Varreduras profundas enviam sondas ativas, por isso só rodam em sites cujo dono publicou um token de verificação do SafeVibe, conferido de novo pelo servidor no início de cada varredura profunda. Repositórios do GitHub não precisam de verificação; os privados usam um token somente leitura fornecido por você.
Perguntas sobre o SafeVibe
O que é o SafeVibe?
O SafeVibe é um scanner de segurança gratuito para aplicativos criados com ferramentas de IA (vibe coding). Ele analisa um site no ar ou um repositório do GitHub em busca de segredos expostos, regras de banco de dados abertas, bibliotecas vulneráveis, CVEs conhecidas e configurações arriscadas, e explica como corrigir cada achado.
O SafeVibe é grátis?
Sim. Todos os tipos de varredura são gratuitos e sem conta: sites, varreduras profundas de sites que pertencem a você e repositórios do GitHub públicos ou privados.
O que o SafeVibe verifica?
Chaves de API expostas (OpenAI, Anthropic, Stripe, AWS, Supabase…), Row Level Security do Supabase e regras do Firebase, cookies e CORS, arquivos vazados como .env ou .git, painéis de administração, bibliotecas JavaScript vulneráveis, mais de 960 testes de CVE e exposições, riscos do GitHub Actions e pacotes npm maliciosos.
É seguro escanear meu site?
Sim. Uma varredura leve só lê o que um navegador já baixa. Uma varredura profunda envia sondas somente leitura e só roda depois que você prova que o site é seu com uma meta tag, um arquivo /.well-known ou um registro DNS. Nenhuma verificação altera dados ou envia cargas de ataque.
O SafeVibe consegue escanear repositórios privados do GitHub?
Sim. Crie um token de acesso refinado do GitHub com acesso somente leitura a esse repositório e cole no scanner. Ele é enviado no corpo da requisição via HTTPS, usado em memória apenas durante a varredura e nunca é armazenado nem registrado.
Como o SafeVibe se mantém atualizado?
Uma sincronização a cada hora lê modelos públicos de detecção e a lista da CISA de vulnerabilidades exploradas. Cada vulnerabilidade vira teste uma única vez e entra num catálogo permanente; só o que é novo ou mudou é processado de novo.
O SafeVibe usa IA, e o que acontece com meu código?
A IA (Claude, da Anthropic) pesquisa as vulnerabilidades mais recentes em segundo plano. O analista de IA opcional durante a varredura vem desligado; se você ativá-lo, os segredos são mascarados antes de enviar seu código do lado do cliente, e cada achado da IA é conferido no código.