O pior momento para achar uma chave no bundle é com a campanha no ar, alguém de fora no repositório ou um cliente pedindo um questionário de segurança. O momento útil é alguns dias antes, com escopo fechado e uma fila que o time consegue executar.
Auditoria aqui não é cerimônia. É leitura do código que a IA acelerou, com evidência: arquivo, impacto, primeira correção. O formato está no relatório de exemplo — um marketplace anonimizado, não um cliente.
Três horas em que o diagnóstico se paga
Antes de abrir tráfego
Lançamento, waitlist, campanha paga. O caminho feliz já foi demo. Falta saber se webhook, auth e pool aguentam gente de verdade. Para essa pergunta, o health check de 48–72 horas costuma bastar.
Antes de alguém de fora ler o repo
Rodada, aquisição, questionário de cliente. Quem lê de fora pede dono e prazo nos P0, não uma opinião no Slack. Isso é o nível mais longo — auditoria profunda, 2–3 semanas — e não cabe no health check.
Quando o contexto saiu do time
O produto foi gerado em sprint, quem montou saiu, o que resta é o chat da IA. Um segundo olhar com evidência devolve uma fila. Não substitui o CTO. Serve o CTO.
Três níveis, de propósito diferentes
O health check (48–72 horas, R$ 4.500 a R$ 9.000) responde se aguenta o próximo passo. Um repositório, semáforo, até cinco itens. Fora: sessão de board, correção, pentest, SOC 2.
O diagnóstico (7–10 dias úteis, R$ 12.000 a R$ 28.000) cobre superfície, concorrência, custo e a fila P0–P2, com sessão de cerca de 90 minutos. É o relatório completo.
A auditoria profunda (2–3 semanas, sob proposta) repete essa entrega para mais de um serviço, ou para quem precisa levar o material a founders e board. Continua fora: pentest completo e certificação SOC 2.
Faixas orientativas — proposta final conforme escopo, depois de meia hora de conversa. Um sprint de correção, se existir, é outro escopo: pairing nas P0, time de vocês no comando.
O que não pedir para esta auditoria
Pentest completo — exploração ativa, fuzzing, relatório de laboratório — é outro ofício. Atestado SOC 2 ou ISO 27001 também. Parecer jurídico também. A Azarias não reescreve o produto no diagnóstico e não pede acesso a produção nem a dado de cliente.
Se o que você precisa é saber se o código acelerado segura o uso, comece pelo health check.