Auditar código, encontrar vulnerabilidades e travar segredos antes do commit.
Segurança aplicacional raramente falha por falta de conhecimento, falha por falta de tempo. Uma chave de API que ficou num ficheiro de configuração, um endpoint que confia no identificador enviado pelo cliente, uma dependência transitiva com um CVE aberto há meses. Nada disto aparece nos testes e nada disto quebra o build. Costuma aparecer quando alguém de fora repara antes da equipa.
Os componentes desta página põem essa verificação dentro do fluxo de trabalho normal. Há agentes que reveem um diff à procura de falhas de autenticação, injeção e exposição de dados, comandos que varrem o repositório inteiro à procura de segredos ou de dependências vulneráveis, e uma automação que corre ferramentas de análise estática sempre que um ficheiro é gravado. O resultado é uma lista de problemas concretos, com ficheiro, linha e correção sugerida.
Comece pelo que dói mais no seu projeto. Se nunca fez uma auditoria, um agente generalista dá o retrato inicial. Se já tem revisão de código a funcionar, acrescente primeiro a deteção de segredos e a auditoria de dependências, que são as falhas mais baratas de corrigir. As skills de modelação de ameaças e de conformidade servem para trabalho planeado: use-as quando desenhar uma funcionalidade sensível ou preparar uma auditoria externa.
21 componentes escolhidos à mão, de 4 ângulos diferentes.
O primeiro retrato do estado de segurança de um projeto e a revisão recorrente de cada alteração. É por aqui que se começa quando ainda não existe processo definido.
Ponto de partida quando ainda não existe processo de segurança: percorre controlos, configurações e código, e devolve lacunas priorizadas com evidência em vez de uma lista genérica.
Utilize este agente ao realizar auditorias de segurança abrangentes, avaliações de conformidade ou avaliações de risco em sistemas, infraestruturas e
Revisão focada num diff ou num módulo, com o plano ajustado ao tipo de código: OWASP Top 10 para APIs web, OWASP LLM Top 10 quando existe integração com modelos de linguagem.
Especialista em revisão de código focada em segurança com OWASP Top 10, Zero Trust, segurança de LLMs e normas de segurança empresarial
Os hooks declarados no frontmatter bloqueiam Write, Edit e Bash durante toda a auditoria, o que os torna adequados a revisões pré-merge ou de conformidade onde nada pode ser alterado.
Use este agente quando precisar de uma auditoria de segurança com a garantia de que não fará alterações na base de código. Este agente possui hooks no
Checklist que se ativa enquanto escreve a funcionalidade e não depois: autenticação, entrada do utilizador, novos endpoints, pagamentos e tudo o que mexa em segredos.
Usar esta competência ao adicionar autenticação, lidar com input do utilizador, trabalhar com segredos, criar endpoints de API ou implementar funciona
Para quem precisa de mapear a superfície de ataque e ordenar o que corrigir primeiro, com princípios OWASP atualizados e um script de validação que corre sobre o projeto.
Princípios avançados de análise de vulnerabilidades. OWASP 2025, Segurança da Cadeia de Abastecimento (Supply Chain Security), mapeamento da superfíci
Cada camada tem falhas próprias. Estes componentes conhecem os padrões de ataque específicos de cada uma, em vez de aplicarem a mesma checklist a tudo.
Especializado em APIs REST: tokens JWT mal validados, escalonamento de privilégios no controlo de acessos e injeção em SQL, NoSQL ou comandos do sistema.
Especialista em auditoria de segurança de APIs. Use PROATIVAMENTE para auditorias de segurança de APIs REST, vulnerabilidades de autenticação, falhas
Serve na fase de desenho, antes de existir código para auditar: padrões de autenticação, autorização, validação de entrada e limitação de pedidos para REST, GraphQL e WebSocket.
Implementar padrões de design de APIs seguros, incluindo autenticação, autorização, validação de inputs, rate limiting e proteção contra vulnerabilida
GraphQL levanta problemas que não existem em REST, como consultas aninhadas sem limite. Trata a validação de consultas e a autorização ao nível dos resolvers.
Especialista em segurança e autorização de APIs GraphQL. Use PROATIVAMENTE para auditorias de segurança de GraphQL, implementação de autorização, vali
Quando o projeto assenta em Supabase, o risco real está nas políticas de Row Level Security e nas chaves expostas ao cliente. É exatamente isso que este comando revê.
Realizar auditoria de segurança abrangente ao Supabase com análise de RLS e avaliação de vulnerabilidades
Para quem publica servidores MCP: revê a implementação de OAuth, o desenho de permissões por papel e os pontos onde o servidor expõe mais do que devia.
Especialista em segurança de servidores MCP. Use PROATIVAMENTE para revisões de segurança, implementação de OAuth, design de RBAC, frameworks de confo
Boa parte das falhas não está na lógica que escreveu, está no que trouxe de fora ou no que ficou esquecido no repositório. São também as mais rápidas de corrigir.
Automação que corre a seguir a cada Edit ou Write. Se tiver semgrep, bandit ou gitleaks instalados, o aviso aparece no momento em que o ficheiro é gravado.
Analisa o código à procura de vulnerabilidades de segurança e secrets após modificações. Utiliza várias ferramentas de segurança para detetar potencia
Varrimento pontual do repositório à procura de chaves de API, palavras-passe e certificados, incluindo commits antigos cuja mensagem sugere que mexeram em credenciais.
Analisar a codebase para detetar segredos expostos, credenciais e informações sensíveis.
Chama o auditor nativo do ecossistema (npm, pip, cargo) e cruza numa só passagem vulnerabilidades conhecidas, pacotes desatualizados e questões de licenciamento.
Auditar dependências para vulnerabilidades de segurança, conformidade de licenças e recomendações de atualização
Vai além da lista de CVE: deteta typosquatting, confusão de dependências e protestware, e gera SBOM em SPDX ou CycloneDX para quem tem de entregar esse documento.
Um especialista em segurança de IA focado em ameaças à cadeia de abastecimento de software: vulnerabilidades de dependências, pacotes maliciosos, gera
Parte de indicadores de ataques reais em npm, PyPI, crates.io e GitHub Actions, o que ajuda quando existe suspeita concreta sobre um pacote comprometido.
Detete e remedie ataques à cadeia de abastecimento de software no npm, PyPI, crates.io, GitHub Actions e pipelines de CI/CD ao procurar pacotes compro
Encontrar os segredos é metade do trabalho, guardá-los é a outra: cobre Vault, AWS Secrets Manager, rotação automática e privilégio mínimo em pipelines de CI/CD.
Práticas seguras de gestão de segredos para pipelines de CI/CD utilizando Vault, AWS Secrets Manager e outras ferramentas.
Trabalho planeado em vez de reativo: perceber o que pode correr mal antes de escrever o código e conseguir provar depois que os controlos existem.
Produz um modelo de ameaças ancorado no repositório real, com fronteiras de confiança, ativos, capacidades do atacante e caminhos de abuso, em vez de um documento genérico.
Modelação de ameaças baseada no repositório que enumera limites de confiança, ativos, capacidades dos atacantes, caminhos de abuso e mitigações, e esc
A metodologia por trás do exercício: STRIDE, PASTA e árvores de ataque, útil quando a revisão é de arquitetura e ainda não existe código para analisar.
Especialista em metodologias de modelação de ameaças, revisão de arquitetura de segurança e avaliação de riscos. Domina STRIDE, PASTA, árvores de ataq
Depois de saber o que falta, aplica controlos concretos: cabeçalhos HTTP, configuração de autenticação, cifra e definições ao nível da infraestrutura.
Reforçar a configuração de segurança da aplicação com controlos de segurança abrangentes
Indicado para produtos com utilizadores na União Europeia, com avaliações de impacto sobre a proteção de dados e verificação de conformidade com o RGPD.
Especialista sénior em RGPD/DSGVO e auditor interno/externo para conformidade com a proteção de dados. Oferece conhecimentos especializados em RGPD da
Quando um cliente pede evidência de SOC 2, PCI DSS ou ISO, ajuda na preparação da auditoria: recolha de evidência, políticas de segurança e avaliação de risco.
Especialista em conformidade de segurança e enquadramento regulamentar. Use PROATIVAMENTE para avaliações de conformidade, requisitos regulamentares,
Os agentes desta página são ficheiros Markdown que vivem em .claude/agents/ dentro do repositório, ou em ~/.claude/agents/ se quiser tê-los em todos os projetos. As skills vão para .claude/skills/, cada uma na sua pasta, e o Claude Code carrega-as quando o pedido corresponde à descrição. Os comandos ficam em .claude/commands/ e passam a estar disponíveis como atalho com o nome do ficheiro. A automação de análise estática é diferente: é um bloco de configuração que se acrescenta ao settings.json, na secção de hooks PostToolUse. Guarde tudo no controlo de versões, para que a equipa inteira tenha os mesmos controlos e para que uma alteração às regras fique registada.
Estes componentes funcionam melhor em camadas, cada uma com a sua cadência. A automação de análise estática corre a cada gravação de ficheiro e apanha o erro óbvio enquanto ainda está fresco. Os comandos de varrimento de segredos e de auditoria de dependências correm uma vez por semana ou antes de cada release, porque analisam o repositório todo e demoram mais. Os agentes de revisão entram antes de fundir uma alteração que toque em autenticação, pagamentos, uploads ou consultas à base de dados. A modelação de ameaças fica fora deste ciclo: faz-se no início de uma funcionalidade sensível e revisita-se quando a arquitetura muda.
Vale a pena ser claro sobre os limites. Vários destes componentes dependem de ferramentas externas instaladas na máquina, como semgrep, bandit, gitleaks ou o auditor do gestor de pacotes. Sem elas, a análise reduz-se ao que o modelo consegue ler no código. Uma revisão assistida por modelo também produz falsos positivos e pode não ver uma falha de lógica de negócio que só faz sentido para quem conhece o produto. Nada disto substitui um teste de intrusão autorizado nem uma auditoria independente quando existe obrigação contratual ou regulatória. Trate os resultados como uma lista de pistas a confirmar, não como um certificado.
Depende do componente. Os agentes e as skills trabalham a partir da leitura do código e funcionam sem instalação adicional. Já a automação de análise estática invoca semgrep, bandit e gitleaks, e a auditoria de dependências chama npm audit, pip ou cargo audit. Se essas ferramentas não existirem na máquina, os comandos seguem em frente sem erro, mas a cobertura fica bastante menor.
Rever diffs, apanhar bugs antes do merge e reduzir dívida técnica.
Conetores MCP, agentes e skills para esquema, queries SQL, migrações e desempenho.
Componentes para empacotar, publicar e manter software a correr em produção.
Prompts e recursos curados de fontes internacionais, normalizados e categorizados: mais de 11 mil. Um robô do Doutor AI verifica as fontes todos os dias e traz o que há de novo.
Precisa de uma solução à medida?
Não sabe por onde começar a usar IA no seu negócio? Receba uma avaliação gratuita e um plano à medida - sem compromisso.
O Doutor AI dá-lhe 1859 prompts de IA prontos a copiar, por indústria e em português simples - mais uma biblioteca técnica completa para quem quer ir mais longe.
