check-pre-lancamento

Antes de divulgar o link, deixe a IA fazer o que um auditor faria:procurar chave exposta, banco aberto, rota sem login, e-mail que não chega e conta que pode estourar.

Uma skill para Claude, Codex, Cursor, Copilot, Gemini e outros agentes. Lê o seu código e o seu site e entrega um relatório com veredito, nota e as correções prontas para o próprio agente aplicar.

🧭 Como funciona

1. Varredura. Um scanner (Python, sem instalar nada) lê o código e o histórico do git e, se você passar a URL, o site publicado. Ele procura chaves secretas, regras do banco, rotas, configurações e dependências vulneráveis.
2. Revisão. O agente abre cada achado, descarta falso positivo e revisa rota a rota o que scanner nenhum resolve sozinho: quem pode ler o quê, o que entra sem validação, o que sai a mais.
3. Relatório. O check-report/RELATORIO.md traz o veredito (🔴 não lance · 🟡 ajuste antes · 🟢 pode lançar), a nota de segurança, a nota de prontidão e cada problema com arquivo:linha, risco e correção.
4. Correção. O check-report/CORRECOES.md é o plano para o agente: uma task por vez, com prompt pronto, critério de aceite e commit. Você diz "aplique as correções" e acompanha.

✅ O que ela checa

#	Segurança	O que procura
01	Esconder API Keys	chave da OpenAI, Anthropic, Stripe… no código, no .env com prefixo público (NEXT_PUBLIC_, VITE_), no next.config ou no JavaScript publicado
02	Limpar secrets do Git	.env, .pem e service account versionados, e chaves que ficaram no histórico
03	Usar apenas Public Key no DB	service role, sb_secret_, firebase-admin ou driver de banco no navegador
04	Ativar RLS	tabela sem RLS, policy using (true), regra do Firebase aberta, PocketBase/Appwrite públicos
05	Criptografia de dados	CPF, saúde, tokens de terceiros em texto puro; cartão guardado; cripto fraca
06	Auth server-side	rota, Server Action, controller ou função sem checar a sessão no servidor
07	Restringir acessos	usuário A lendo dados do B pelo id na URL, papel vindo do cliente, CORS aberto
08	Bloquear Mass Assignment	o body inteiro indo para o banco ($request->all(), data: body, @RequestBody Entity)
09	Proteger cookies	token em localStorage, cookie sem HttpOnly/Secure, CSRF desligado
10	Hash nas senhas	MD5/SHA em senha, texto puro, bcrypt fraco, senha mínima curta
11	Rate limit	login, cadastro, IA, e-mail e SMS sem limite
12	Bot protection	cadastro e formulários sem captcha, ou captcha sem verificação no servidor
13	Queries parametrizadas	SQL montado com string em JS, PHP, Python, Ruby, Java, C# e Go; NoSQL com objeto do request
14	Validação dos inputs	rota sem schema, XSS (dangerouslySetInnerHTML, v-html, {!! !!}), SSRF, path traversal
15	Evitar vazamento de conteúdo	debug ligado, stack trace na resposta, source maps, Actuator aberto, /.env público
16	Restringir uploads	sem limite de tamanho, sem checar tipo, nome original no caminho, bucket público
17	Limitar respostas de API	objeto de usuário inteiro (com hash de senha), listagem sem paginação, GraphQL sem limite
18	Security headers	CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy e Permissions-Policy
19	Forçar HTTPS	HTTP sem redirect, TLS desligado, app mobile aceitando tráfego sem HTTPS
20	Scan de dependências	npm audit, pip-audit, composer audit, osv-scanner, govulncheck; Next.js vulnerável

#	Prontidão	O que procura
P01	Configuração de produção	variável não documentada, localhost no código, chave de teste em produção
P02	Erros e logs monitorados	Sentry ou equivalente, tela de erro amigável
P03	Backup e recuperação	backup automático, cópia fora do provedor, restauração testada
P04	Deploy, migrations e rollback	migrations versionadas, CI, testes, caminho de volta
P05	Uptime e alertas	health check, monitor externo, certificado vencendo
P06	E-mail e domínio	SMTP próprio (o padrão do Supabase é só para teste), SPF, DKIM e DMARC
P07	LGPD, privacidade e termos	política, termos, consentimento de cookies, exclusão de conta
P08	SEO e compartilhamento	título do template ("Lovable App"), noindex esquecido, og:image, sitemap
P09	Performance e experiência	imagens pesadas, JS grande, viewport, compressão, página 404
P10	Custos e limites de gasto	IA sem max_tokens, sem teto de gasto na nuvem e na API

🚀 Instalar em 1 minuto

Escolha onde você usa IA. Todas as opções instalam a mesma skill, direto deste repositório.

Claude Code

Recomendado: ele lê o projeto inteiro, roda o scanner e já aplica as correções.

Como plugin (atualiza com um comando). Dentro do Claude Code:

/plugin marketplace add dantaspaulo/check-pre-lancamento
/plugin install check-pre-lancamento@check-pre-lancamento

Ou como skill pessoal (no terminal):

git clone https://github.com/dantaspaulo/check-pre-lancamento.git
cp -R check-pre-lancamento/skills/check-pre-lancamento ~/.claude/skills/

Depois, na pasta do projeto: /check-pre-lancamento ou "faz o check pré-lançamento". Como plugin, o comando é /check-pre-lancamento:check-pre-lancamento. Para atualizar o plugin: /plugin marketplace update check-pre-lancamento.

Claude.ai e app do Claude

Web, desktop e celular. Bom para quem não programa: você anexa o projeto e conversa.

1. Em Configurações → Capacidades (Settings → Capabilities), ligue Execução de código e criação de arquivos (Code execution and file creation).
2. Baixe o check-pre-lancamento.zip. Não use o botão "Download ZIP" do GitHub: ele traz o repositório inteiro, e não só a skill.
3. Em Personalizar → Skills → + → Enviar uma skill (Customize → Skills → + → Upload a skill), escolha o .zip.
4. Numa conversa nova, anexe o projeto zipado (ou conecte o repositório do GitHub) e peça: "faz o check pré-lançamento". Passe também a URL do site publicado.

O nome dos menus pode variar um pouco com a versão do app.

OpenAI Codex

CLI, extensão de IDE e app.

$skill-installer install https://github.com/dantaspaulo/check-pre-lancamento/tree/main/skills/check-pre-lancamento

This is the beginning of the README. Read the rest at the original. Read the full README ↗