01
Chave no client e no histórico
Variável pública no Next, define no Vite, .env.example com valor real. O modelo copia o tutorial. O bundle e o commit antigo continuam no GitHub.
A IA escreve o caminho feliz. A gente entra no repositório, somente leitura, e devolve o que quebra em produção: arquivo, linha, impacto e a ordem de correção. A partir de R$ 4.500.
01 — O problema
Em repositório de seed e série A o padrão se repete. Não é dívida técnica genérica: é código acelerado sem revisão de superfície, concorrência e custo. A auditoria existe para nomear isso com evidência, antes do lançamento, da rodada ou do questionário.
01
Variável pública no Next, define no Vite, .env.example com valor real. O modelo copia o tutorial. O bundle e o commit antigo continuam no GitHub.
02
findAll + forEach(find) em /orders. Cinco conexões, fila estourando, lock em 1.4s no p95. O índice (user_id, created_at) nunca foi criado.
03
Timeout alto, três tentativas, embedding recalculado a cada request, job pesado no meio da requisição. Uma parte dos tokens do mês some num loop escrito “para ficar resiliente”.
Quer saber se o produto aguenta o próximo lançamento ou uma rodada, sem montar um time de plataforma só para isso.
Herda um repositório feito em sprint com IA e precisa de evidência no código, não de opinião solta no Slack.
Precisa de material claro: o que é crítico, o que pode esperar e o que já tem dono e prazo.
02 — O que você recebe
O relatório de exemplo é o formato: inventário, achados, evidência e plano. No seu engajamento, arquivo e linha são do seu repositório. O health check entrega a versão curta: semáforo e os itens que não esperam.
Amostra de relatório · AZR-2026 · fictício
não é um cliente · mesmo formato do entregável
62
score /100
03
achados críticos
1.4s
lock time no p95
38%
tokens em retry cego
azarias.audit github.com/acme/mvp
scan.secrets() 3 live keys no bundle do cliente
scan.orm() N+1 em GET /orders · lock 1.4s
scan.llm() 38% dos tokens em retry cego
P0 src/lib/openai.ts:9
export const KEY = "sk-proj-8f••••"
vazou para o browser via Vite define
vault + rotação. nunca no client. filtrar o git history.
P0 app/api/webhooks/stripe/route.ts
POST invoice.paid sem constructEvent
verificar assinatura. compare timing-safe.
{
"hotspot": "GET /orders",
"pattern": "Order.findAll + items.forEach(find)",
"lock_time_p95": "1.4s",
"mitigation": "include Item; cap pool; timeout 800ms"
}
Abrir o relatório de exemplo →janela sugerida para o crítico: 48h
03 — Como o trabalho anda
Ferramenta sozinha gera barulho. Só olho humano demora demais. O scan aponta candidatos; a revisão decide o que é urgente de verdade.
01
Stack, o que está em jogo e qual nível cabe: health check, diagnóstico ou auditoria profunda.
02
Somente leitura. NDA se você quiser. Sem produção, sem dump de cliente e sem agente no ambiente.
03
HTTP, secrets, auth, modelagem, locks, jobs, integrações e custo. No health check, o corte para no que não pode esperar.
04
No diagnóstico e na auditoria profunda, cerca de 90 minutos no P0: arquivo, impacto e primeira correção. O health check para no relatório curto.
CORS, webhook sem assinatura, rota de admin fora do matcher, keys no bundle e no CI.
N+1, transação longa, índice que a migration não criou, pool pequeno demais.
Retry sem limite, embeddings recalculados, tools em loop, jobs no meio da request.
P0 com dono e prazo, superfície autenticada, evidência que o time e o board conseguem usar.
04 — Engajamentos
Cada nível tem escopo, prazo e entrega fechados. O valor publicado é a faixa sugerida: ponto de partida comercial, não um orçamento cego.
Entrada · 48–72 horas
a partir de
R$ 4.500 a R$ 9.000
Um repositório. Secrets, superfície e hotspots óbvios de banco e de custo.
EntregaRelatório curto: semáforo e até cinco itens que não podem esperar. Sem sessão de board e sem correção.
Intermediário · 7–10 dias úteis
faixa sugerida
R$ 12.000 a R$ 28.000
As quatro frentes: superfície, concorrência, custo e a fila que o time consegue executar.
EntregaRelatório no formato do exemplo, roadmap P0–P2 e sessão de cerca de 90 minutos.
Avançado · 2–3 semanas
valor
Sob proposta
Mais de um serviço, ou o pacote para quem vai ler o risco de fora: rodada, board, questionário.
EntregaO do diagnóstico, com donos e prazos, e sessão para founders ou board técnico. Fora: pentest completo, certificação SOC 2 ou ISO, parecer jurídico, reescrita e acesso a produção.
Faixas orientativas — proposta final conforme escopo. Um sprint de correção, cerca de duas semanas, é opcional e fica fora destes três níveis: pairing nas P0, com o time de vocês no comando.
05 — Caminho curto
48–72h
Produto fechado. Um repositório, somente leitura, resposta direta: aguenta o próximo passo ou precisa de auditoria mais funda.
Rafael, segundo o simbionte. Foto entra quando houver uma boa.
08 — Quem faz
A Azarias é o Rafael Manso Campigotto: engenheiro de software, dev único de uma startup em produção, e quem lê o seu repositório do começo ao fim. Não tem comercial, não tem júnior fazendo a leitura e não tem relatório gerado por ferramenta e assinado por humano.
github.com/rmcampigotto +55 44 99700-3374 azarias@rmcampigotto.dev
09 — Notas
No código · 3 min
Chave no bundle, query que só apareceu no seed, retry sem teto. O recorte de um health check em 48–72 horas.
Quando auditar · 3 min
Lançamento, rodada, troca de responsável. A diferença entre os três níveis, e por que isso não é pentest nem SOC 2.
10 — Perguntas
Health check, 48–72 horas: R$ 4.500 a R$ 9.000. Diagnóstico intermediário: R$ 12.000 a R$ 28.000. Auditoria profunda: sob proposta, conforme o número de serviços e quem vai ler o material. Faixas orientativas: a proposta final segue o escopo, depois de uma conversa de cerca de 30 minutos.
Não. O health check é fechado: um repositório, 48–72 horas, semáforo e os itens que não podem esperar. O diagnóstico e a auditoria profunda vão mais fundo e incluem sessão ao vivo.
No diagnóstico, não. O sprint de execução é opcional, separado dos três níveis, e foca só nas P0 do relatório. O restante continua com o time de vocês.
Não. Só o repositório em leitura. Staging ajuda, mas não é obrigatório. Dados de cliente ficam fora do escopo.
Melhor ainda. O relatório é apoio para o time, não substituto. O CTO participa da sessão, quando ela faz parte do nível; a gente traz o segundo olhar e a evidência no código.
Próximo passo
Dessa conversa sai o nível (health check, diagnóstico ou auditoria profunda) e a proposta dentro da faixa publicada. Sem pitch de alocação.