Scanner de segurança — Guia do usuário | YoBench

Para que serve o módulo «Scanner de segurança»

O módulo realiza uma auditoria completa de segurança de um site ou domínio em uma única execução. Em vez de rodar uma dúzia de utilitários separados (openssl, nmap, dig, serviços online), você indica um endereço e obtém um relatório unificado com findings em 14 categorias — da expiração do certificado SSL às portas abertas e arquivos .env esquecidos.

O que você obtém:

• Uma visão técnica completa de segurança — SSL/TLS, cabeçalhos HTTP, DNS, portas abertas, subdomínios, arquivos sensíveis — em uma única tabela com níveis de severidade (critical / high / medium / low / info).
• Execução local — a maioria das verificações roda diretamente do seu computador via módulos integrados do Node.js, sem enviar dados a serviços de terceiros.
• Análise por IA dos resultados — uma revisão opcional pelo provedor escolhido (OpenAI, Claude, LLM local): explica os findings em linguagem simples e sugere prioridades de correção.
• Modelos e histórico — toda execução é salva no banco local criptografado; modelos podem ser reutilizados e reexecutados regularmente.

Verificações disponíveis

O módulo oferece 14 tipos de verificação. Você os ativa individualmente ao criar um modelo.

A maioria das verificações roda localmente. Recursos externos são usados apenas por: Subdomain Enumeration (API crt.sh) e Análise IA (se um provedor de IA estiver selecionado).

Parâmetros e configurações

Parâmetros do modelo

Um modelo é um conjunto reutilizável de parâmetros para uma varredura. Ao criar você especifica:

• Nome — rótulo livre para o modelo.
• Endereço — uma URL ou domínio (normalizado automaticamente: example.com, https://example.com, https://example.com/path são todos válidos).
• Seleção de verificações — escolha de 1 até as 14 disponíveis. Quanto mais, mais demorada a execução.
• Provedor de IA (opcional) — qual provedor das Configurações de IA analisará o relatório. Vazio = sem análise IA.
• Proxy (opcional) — encaminha todo o tráfego da varredura por um perfil de proxy das configurações.
• Prompt da IA — o prompt usado na análise IA. Mantenha o padrão ou adapte ao seu contexto (por exemplo, pedir saída em um idioma específico com priorização para um time júnior).

Configurações globais do módulo

Configuradas em Configurações → Scanner de segurança e aplicadas a todos os modelos:

• Timeout — tempo máximo de espera de uma operação HTTP/TCP individual (ms). Um timeout alto aumenta a chance de esperar um site lento; baixo, acelera a execução.
• Verificações paralelas — quantas rodam simultaneamente. Padrão 5; valores altos pressionam mais a rede e o servidor alvo.
• Lista de portas — lista de portas personalizada para Port Scan além da padrão.
• User-Agent — a string User-Agent usada nas requisições HTTP.
• Caminhos adicionais — caminhos extras para Sensitive File Exposure além do conjunto embutido (por exemplo, /_admin, /.config/secrets.json).

Fluxo de uso

1. Crie um modelo

1. Abra o módulo Scanner de segurança no menu lateral esquerdo.
2. Na aba Modelos clique em Novo modelo.
3. Preencha nome e endereço, marque as verificações necessárias.
4. Opcionalmente escolha um provedor de IA e um proxy, edite o prompt.
5. Salve o modelo.

2. Inicie uma varredura

1. Na aba Modelos clique em Escanear ao lado do modelo.
2. O módulo separa automaticamente as verificações em dois grupos:
   • Sem navegador (SSL, cabeçalhos, cookies, DNS, portas, arquivos, CORS, WAF, subdomínios, métodos, rate limiting, info disclosure) — rodam em paralelo dentro do limite de concorrência.
   • Com navegador (client-side, technology) — rodam sequencialmente em um navegador headless compartilhado.
3. O painel inferior exibe um log em tempo real: quais verificações começaram, terminaram ou produziram findings.
4. Você pode parar a varredura a qualquer momento com Parar — verificações já concluídas são preservadas.

3. Analise o relatório

1. Abra a aba Relatórios — ordenados por data de execução.
2. Abra um relatório: à esquerda a lista de todas as verificações com status e número de findings; à direita os detalhes da verificação selecionada.
3. Cada finding contém: severidade (critical, high, medium, low, info), título, descrição e recomendação de correção.
4. Se um provedor de IA foi selecionado, a aba Análise IA traz um resumo em Markdown do relatório. A análise IA fica disponível assim que a varredura termina — enquanto a varredura está em andamento, a aba mostra um estado de espera.

4. Aja sobre os resultados

• Reexecute modelos após releases — isso revela regressões (por exemplo, um cabeçalho HSTS que sumiu numa migração do nginx).
• Apague relatórios obsoletos com Excluir — as verificações vinculadas são removidas em cascata.
• Use modelos separados para ambientes diferentes (prod, staging) — comparações ficam mais simples.

Próximos passos

• Conecte provedores de IA para habilitar análise IA dos relatórios.
• Configure proxies se precisar escanear recursos numa rede privada.
• Para monitoramento contínuo de disponibilidade use Health Check — esse módulo foca em uptime; o Scanner de segurança, em configuração.

Ajuda e feedback

Encontrou um bug ou quer sugerir um novo tipo de verificação? Escreva para nós pelo formulário de contato.