¿Construiste una app con IA y no sabes qué quedó expuesto? Ejecuta la verificación, sigue las cinco brechas y cierra las puertas — todo en una copia de prueba, sin tocar la producción.
Invada seu próprio app es un kit de revisión defensiva con un verificador, cinco guías de brechas y prompts para organizar los resultados. Es para quien construyó una app con IA y sabe editar el proyecto, pero no trabaja con seguridad todos los días. Ayuda a buscar señales de fallas, corregir las reglas de la app y revisar el resultado antes de publicar. Para usarlo, necesitas una copia aislada de tu app, datos inventados, dos cuentas ficticias y Python 3.
Una ruta para revisar tu app, corregir una falla a la vez y registrar lo que fue confirmado.
Una única petición de lectura busca señales en el HTML y en el JavaScript inline, sin login, formularios ni redirecciones.
Cada guía explica el problema, un escenario controlado, la corrección y cómo confirmar el resultado.
Organiza una prueba de intrusión simulada y un informe visual con evidencias, límites y prioridades.
Empieza en una copia aislada, revisa las reglas y repite tanto el escenario rechazado como el uso legítimo.
Prepara la copia de prueba y abre la terminal en la carpeta del proyecto; el verificador usa Python 3, sin dependencias adicionales.
Staging es una copia para pruebas. Usa datos inventados, cuentas A y B, correo de prueba y pagos simulados; desactiva integraciones externas y haz un backup de la copia.
# Checklist antes de cualquier acceso
URL y rutas autorizadas
Cuentas ficticias A y B
Correo y pago de prueba
Backup de la copiaVerifica la instalación en la terminal; no es necesario instalar paquetes adicionales.
python3 --versionAbre la terminal en la raíz de este repositorio, donde está la carpeta kit, y consulta las opciones reales del verificador.
python3 kit/scripts/checa.py --helpSigue los seis pasos en tu copia de prueba. La dirección de los comandos es ilustrativa: cámbiala por la URL autorizada de tu app.
Lee COMECE AQUI (en portugués). Registra autorización, URL, rutas permitidas y responsable. Confirma los requisitos previos de arriba; nunca uses producción.
# Lee las instrucciones locales antes de probar cat kit/COMECE-AQUI.md
Sustituye la URL por la de tu copia aislada. La flag declara tu permiso; el script no comprueba propiedad ni aislamiento. Hace un único GET, no sigue redirecciones y solo lee el HTML y el JavaScript inline de la respuesta. Una señal no confirma una falla; la ausencia de señales no prueba seguridad.
python3 kit/scripts/checa.py --url https://staging.seu-app.test --eu-tenho-permissao # Opcional: agrega --json para una salida estructurada
Sigue los documentos del 01 al 05 y registra evidencias sin contraseñas, tokens ni datos personales.
# Lee los cinco documentos en la terminal, si prefieres cat kit/brechas/*.md
Adapta los pseudocódigos a tu app, un cambio a la vez, incluyendo rutas alternativas. Para los comentarios, revisa también el renderizado seguro en todas las pantallas. Repite el escenario rechazado y el flujo legítimo; revisa la base de datos, los logs y el estado final.
# No existe un comando universal de corrección. # Registro de cada hallazgo: brecha · ruta · cuenta ficticia · evidencia riesgo · corrección · reprueba · responsable
Abre el prompt de pentest e informe visual (en portugués). Copia el bloque e indica URL, rutas permitidas y aislamiento antes de cualquier acceso. Empieza por la lectura del código y las verificaciones pasivas; los cambios de estado deben ser escenarios simulados o pruebas locales ejecutadas por ti.
cat kit/prompts/pentest-do-seu-app.md
Ejecuta las pruebas offline del verificador. No validan la seguridad de tu app: esa confirmación depende de las repruebas en staging y de las evidencias de cada brecha.
python3 kit/testes/run.py
Para cada una, marca: aplicable, no aplicable o pendiente. Abre el documento para ver el escenario de prueba y la reprueba.
Un ID enviado por el navegador puede elegir la cuenta equivocada al cambiar la contraseña. Corrección: En el servidor, deriva la cuenta solo del token, con expiración y consumo único, impidiendo dos usos simultáneos.
El contenido guardado puede interpretarse como código en el navegador de quien lo lee. Corrección: Muestra los comentarios como texto y, si permites formato, filtra etiquetas y atributos con un sanitizador basado en una lista de permitidos.
Las peticiones fuera del negocio pueden consumir tu cuota de respuestas. Corrección: Valida el asunto antes de responder e impón en el servidor límites de uso y presupuesto independientes del modelo.
El servidor puede aceptar como precio final un valor alterado por el comprador. Corrección: Calcula el total en el servidor y verifica pedido, valor, moneda y estado en la confirmación del pago.
El agente puede confundir instrucciones recibidas por correo con órdenes del dueño. Corrección: Trata los mensajes como datos, limita los permisos y exige confirmación humana para acciones sensibles en el ejecutor.
El caso real, las cinco puertas comunes y cómo probar en tu copia, en cuatro minutos (en portugués).
El kit documenta lo que está disponible hoy; nuevas brechas y modo CI no están implementados ni tienen plazo definido.