Como funciona
- 01
Conecte o seu código
Dê acesso só de leitura, inclusive à infraestrutura como código. Você escolhe o que entra.
connect --read-only - 02
A varredura roda em segundo plano
Sem pipeline para configurar. A cada mudança, a TatuSec verifica de novo.
scan --repo your-code - 03
Correções, se você quiser
Cada achado vem explicado em português com a correção sugerida. PRs de correção são opcionais e pedem uma permissão de escrita separada.
fix --open-pr
O que verificamos
- SAST
Código
Falhas no código que o seu time escreve: injeção, autenticação frágil, criptografia mal usada.
- SCA
Dependências
Bibliotecas com vulnerabilidades conhecidas, e o caminho até a versão corrigida.
- Secrets
Segredos expostos
Chaves, tokens e senhas que foram parar no código, inclusive no histórico.
- IaC
Infraestrutura como código
Terraform, CloudFormation, Dockerfiles e manifestos com configurações inseguras.
Mapeamento para LGPD e ISO 27001
Cada achado aponta para os controles relacionados da LGPD e da ISO 27001, num formato que o time de engenharia, o DPO e o auditor conseguem usar.
Isso é evidência técnica. A TatuSec não emite parecer de conformidade e não substitui o seu DPO, o seu auditor ou a sua assessoria jurídica.
Exemplo ilustrativo de achado
- severity
- alta
- tipo
- segredo exposto
- onde
- config/settings.py:14
- relacionado
- LGPD (segurança) · ISO 27001 (controle de acesso)
- correção
- revogar a chave, mover para um gerenciador de segredos
Roadmap
Sem datas para o que ainda não foi lançado.
- > scan --repo your-code em desenvolvimentoO seu código, incluindo infraestrutura como código. É o primeiro a sair.
- > scan --cloud aws pilotoConfiguração da sua conta AWS, com um papel de leitura. Azure vem depois.
- > scan --domain your-domain.com em breveDomínios e o que fica exposto na internet.
- > scan --cluster prod em breveClusters Kubernetes.
Segurança e privacidade
O que a TatuSec acessa, o que guarda e onde.
- Acesso
- Acesso de leitura ao seu código, incluindo infraestrutura como código. Só leitura por padrão; PRs de correção são opcionais e pedem permissão de escrita separada.
- Código
- O seu código não é armazenado além da execução da varredura.
- Nuvem
- Na varredura de AWS lemos configuração, não o conteúdo dos seus dados (objetos do S3, linhas de banco).
- Onde ficam os dados hoje
- O site fica na Cloudflare e hoje não tem formulários nem cookies. Antes de qualquer cliente enviar dados, publicaremos onde eles ficam e quais são os subprocessadores.
Programa de pilotos
Estamos abrindo 10 vagas para times que querem a varredura de nuvem (AWS primeiro) e a varredura de código antes de todo mundo. Em troca, pedimos feedback direto e franco.
Perguntas frequentes
A TatuSec deixa a minha empresa em conformidade com a LGPD?
Não, e desconfie de quem diga que sim. A TatuSec entrega evidências técnicas sobre o seu código e a sua infraestrutura. Conformidade é um processo da organização, com o seu DPO, o seu jurídico e o seu auditor.
Vocês guardam o meu código?
Não além da execução da varredura.
Preciso dar acesso de escrita ao meu código?
Não. A varredura é só leitura. Os PRs de correção são opcionais e pedem uma permissão de escrita separada, que você pode nunca conceder.
Quanto custa?
Haverá um plano gratuito para começar. Os planos pagos ainda não estão definidos.
Quando abre?
Ainda não há data.
Em que idioma vêm os achados?
Em português, com os comandos e trechos de código sempre em inglês, como no seu terminal.