Central de Segurança do Projeto

​

Como os resultados são categorizados

• Crítico: vulnerabilidades que representam risco imediato e devem ser corrigidas antes da publicação. Exemplos incluem execução remota de código, injeção de SQL em endpoints expostos e credenciais expostas.
• Alto: problemas graves que podem ser explorados sob certas condições, como cross-site scripting (XSS), fluxos de autenticação inseguros ou dependências não corrigidas com explorações conhecidas.
• Médio: problemas que representam um risco potencial, mas com menor probabilidade de serem explorados, como cabeçalhos de segurança ausentes ou configurações de CORS excessivamente permissivas.
• Baixo / Informativo: problemas menores ou recomendações de boas práticas, como uso de APIs obsoletas ou mensagens de erro detalhadas em produção.

​

O que é o Project Security Center?

1. Verificações automáticas de dependências: verificações gratuitas e leves que comparam os pacotes do projeto com registros públicos de vulnerabilidades
2. Verificações de segurança do Agent: revisões assistidas por IA que combinam análise de modelo com ferramentas de análise estática de código para auditar toda a sua base de código

​

Verificações automáticas de dependências

​

Auto-Protect

1. Envia um e-mail com um resumo e um link direto para o painel Security do projeto afetado.
2. Solicita ao Replit Agent que prepare e teste uma correção para a vulnerabilidade.
3. Deixa a correção pendente de revisão no painel Security.

​

Ativar o Auto-Protect

​

Verificações de segurança do Agent

​

O que o Security Agent faz

1. Mapeia sua arquitetura — identifica rotas, APIs, fluxos de dados e pontos de entrada
2. Constrói um modelo de ameaças — cria um plano de modelagem de ameaças personalizável para sua aplicação
3. Executa análise estática — usa Semgrep e HoundDog.ai para verificar vulnerabilidades no nível do código e problemas de privacidade
4. Analisa os achados com IA — avalia se os problemas sinalizados são de fato exploráveis no contexto da sua aplicação, reduzindo significativamente os falsos positivos
5. Gera um relatório de achados — apresenta os riscos identificados para sua revisão

• Problemas de análise estática (SAST): padrões de código inseguros, como injeção de SQL, cross-site scripting (XSS) e cross-site request forgery (CSRF)
• Problemas de privacidade: dados sensíveis fluindo para destinos de risco, como logs, arquivos ou APIs de terceiros
• Vulnerabilidades arquiteturais: brechas de segurança na forma como suas rotas, APIs e fluxos de dados estão estruturados

const query = `SELECT * FROM users WHERE username = '${userInput}'`;

logger.info("New signup", {
  email: user.email,
  phoneNumber: user.phoneNumber,
  address: user.address,
});

​

Iniciando uma verificação de segurança do Agent

1

Abra o painel Security no seu projeto para iniciar o Project Security Center.

2

Selecione Run scan with Agent.

3

Opcionalmente, personalize o prompt de modelagem de ameaças para focar em áreas específicas da sua aplicação.

4

Aguarde a conclusão da revisão. Isso normalmente leva alguns minutos, mas pode levar até 15 minutos para projetos maiores.

​

Limitações e boas práticas

• Privacidade e tratamento de dados: toda a verificação é executada na infraestrutura do Replit. Seu código e dados não são enviados para a Semgrep, HoundDog.ai ou outros terceiros. A configuração e os resultados da verificação permanecem vinculados ao seu Replit App.
• Suporte a linguagens:
  • A verificação de dependências oferece suporte a muitos ecossistemas populares (incluindo Node.js/npm, Python, Go, Rust, PHP e Ruby).
  • A correção automática de dependências está atualmente focada em Node.js/npm.
• Não é uma revisão de segurança completa: use as verificações junto com revisão de código, testes, revisão de dependências e verificações no aplicativo em produção.
• Execute novamente após alterações: execute uma nova verificação após:
  • Adicionar ou atualizar dependências
  • Fazer alterações significativas no código
  • Antes de publicar uma nova versão

​

Verificações de publicação

• Ativado — a publicação é bloqueada até que o problema seja resolvido ou descartado.
• Desativado — a publicação continua e o achado é exibido para sua revisão.

​

Próximos passos

• Saiba mais sobre Publicação e como publicar seu Replit App depois que as verificações estiverem limpas.
• Explore o Replit Agent para corrigir problemas de segurança e privacidade diretamente do Editor de Projetos.
• Leia Como o Replit protege código gerado por IA para saber mais sobre a abordagem do Replit em relação à segurança.
• Confira os recursos do Editor para mais ferramentas que melhoram a qualidade, o desempenho e a confiabilidade do código.