Rode uma auditoria de segurança no seu SaaS com IA, usando um prompt pronto

Por que rodar isso agora

Tem bot vasculhando a internet atrás de brecha 24 horas por dia. A maioria das empresas só descobre a falha depois que ela já foi explorada, geralmente porque nunca ninguém olhou pra segurança do sistema com atenção, só pra feature nova.

Se você ainda não tem orçamento ou tempo pra um pentest completo, dá pra fazer uma primeira checagem sozinho, agora, com a IA que você já usa no dia a dia pra programar. Não é o ideal, mas é infinitamente melhor que nada.

O que esse prompt faz, e o que ele não faz

O prompt abaixo pede pra IA revisar seu código ou sua arquitetura procurando os tipos de falha mais comuns em SaaS: controle de acesso, autenticação, exposição de dado, injeção, SSRF, segredo exposto e dependência desatualizada. É o mesmo tipo de checagem que um scanner automatizado faria, só que explicado em linguagem natural pra qualquer IA de propósito geral entender o contexto do seu produto.

Antes de colar qualquer coisa numa IA

Nunca cole chave de API, senha, token, string de conexão de banco ou dado real de cliente numa IA de terceiro. Anonimize antes: troque nome de variável sensível, remova valor de segredo, use dado sintético no lugar de dado real. O objetivo é avaliar o padrão do código, não expor o que ele protege.

O prompt

Copie o texto abaixo, cole numa IA (ChatGPT, Claude, Gemini ou o assistente de código que você já usa), e substitua a última linha pelo trecho de código, rota ou descrição de arquitetura que quer avaliar.

Você é um pentester experiente revisando o código de um SaaS multi-tenant. Analise o trecho de código, arquitetura ou descrição do sistema que eu vou colar abaixo, e aponte riscos reais de segurança, não sugestões de estilo.

Verifique especificamente:

1. CONTROLE DE ACESSO E ISOLAMENTO DE TENANT
- Toda rota que recebe um ID de recurso (usuário, pedido, arquivo, etc.) valida se esse recurso pertence ao tenant ou usuário autenticado, ou só confia no ID que veio na requisição? (isso é IDOR/BOLA)
- O tenant_id vem do token assinado, ou pode ser passado por query, body ou path pelo próprio cliente?

2. AUTENTICAÇÃO
- Senha é armazenada com hash forte (bcrypt ou argon2), nunca em texto puro ou hash fraco tipo MD5/SHA1 sem salt?
- Existe rate limit em login, recuperação de senha e outros endpoints de autenticação?
- Token de sessão expira, é invalidado no logout, e não pode ser reaproveitado depois de um reset de senha?

3. EXPOSIÇÃO DE DADO
- Alguma resposta de API retorna mais campo do que o frontend precisa, incluindo dado de outro usuário ou tenant?
- Existe log, mensagem de erro ou stack trace que vaza dado sensível, tipo senha, token, chave ou e-mail de terceiro?

4. INJEÇÃO E ENTRADA DE DADO
- Toda entrada do usuário é validada e tratada antes de virar query SQL, comando de sistema, ou ser interpretada como HTML/JS?
- Upload de arquivo valida o tipo e o tamanho reais, não só a extensão do nome do arquivo?

5. SSRF E CHAMADA EXTERNA
- O sistema faz alguma requisição HTTP pra uma URL fornecida pelo usuário, tipo webhook, importação de imagem por URL ou integração? Se sim, essa URL é validada contra IP interno ou endereço de metadado de nuvem?

6. SEGREDO E CONFIGURAÇÃO
- Chave de API, senha de banco ou segredo de JWT está direto no código, ou em variável de ambiente separada?
- Existe algum arquivo .env, chave privada ou credencial commitada no histórico do Git?

7. DEPENDÊNCIA
- As bibliotecas usadas têm versão desatualizada com vulnerabilidade conhecida? Se tiver acesso, rode a ferramenta de auditoria de dependência da sua linguagem.

Pra cada item acima, responda: OK, RISCO ENCONTRADO (dizendo onde e por quê), ou NÃO CONSIGO AVALIAR (sem informação suficiente). No final, liste os 3 riscos mais críticos encontrados, em ordem de severidade.

[Cole aqui o código, a descrição da arquitetura, ou a rota específica que você quer avaliar]

Depois que a IA responder

O que ela apontar vira sua lista inicial de correção. Mas a pergunta mais importante é outra: o que ela não viu? Os quatro casos reais que já resolvemos (SSRF em plataforma enterprise, bypass de autenticação via SAML, IDOR em marketplace B2B e sequestro de rede via CMS desatualizado) foram todos achados testando manualmente, com metodologia de bug bounty, não rodando scanner nem IA.