Segurança

Verificações de segurança

Cada site tem três verificações. Você encontra todas no editor, em Configurações > Segurança.

Verificação de pacotes

O seu site é feito com pacotes open source, como o framework em que ele roda. A verificação de pacotes confere cada pacote que o seu site usa no banco de dados de alertas do npm com problemas de segurança conhecidos. Ela roda todo dia para sites ativos e publicados, depois que a IA cria e sempre que você publica, então reflete o que está realmente no ar.

Verificação de código

A verificação de código é automática e gratuita. Ela roda em toda publicação e sempre que você a inicia. Ela procura os erros que mais expõem os dados de um site:

• Chaves secretas no código que os navegadores conseguem ver
• Valores secretos em variáveis de ambiente públicas (nomes que começam com NEXT_PUBLIC_), que qualquer pessoa que abrir o seu site pode ler
• Chaves de serviço, que ignoram as regras de acesso do seu banco de dados, usadas em código do navegador
• Tabelas do banco de dados sem segurança em nível de linha, que qualquer pessoa poderia ler ou alterar
• Rotas de tarefas agendadas que qualquer pessoa pode chamar
• Renderização de HTML insegura, que pode deixar alguém rodar os próprios scripts nas suas páginas
• Configurações de imagem mais abertas do que precisam ser

Revisão de segurança com IA

A revisão de segurança com IA roda no chat quando você pede e usa créditos como qualquer mensagem. Uma IA lê todo o código do seu site e procura problemas específicos de como o seu site funciona:

• Quem pode ler ou alterar o quê
• Páginas e ações que deveriam verificar se a pessoa entrou na conta
• Pagamentos
• Injeção, quando algo digitado por um visitante é tratado como código ou como consulta ao banco de dados
• Dados mostrados a quem não deveria vê-los

Cada problema encontrado vem com uma explicação simples e uma sugestão de correção. Corrigir com IA aplica a correção.

Gravidade

Cada problema encontrado é classificado como crítico, alto, moderado ou baixo. Comece pelos críticos e altos.

O que as verificações não fazem

Nenhuma verificação pega todos os riscos. Um relatório limpo significa que nenhuma dessas verificações encontrou um problema, não que o seu site não tenha nenhum. Teste tudo o que envolve login, pagamentos ou dados dos seus usuários antes de confiar nisso.

Atualizações de segurança automáticas

Quando um pacote que o seu site usa tem uma vulnerabilidade crítica e a correção está na mesma versão principal, o WebTwizz atualiza o seu site para você:

• Só as versões dos pacotes mudam. O código do seu site nunca é tocado.
• Nós recriamos a versão publicada do seu site. Rascunhos inacabados nunca são publicados.
• Se a reconstrução falhar, a versão atual continua no ar.
• Um ponto de restauração é salvo no seu histórico de versões.
• Se o seu projeto sincroniza com o GitHub, a atualização é enviada para lá como um commit.
• Você recebe um e-mail dizendo o que mudou.

As atualizações automáticas vêm ativadas por padrão em sites novos. Sites criados antes de existirem atualizações automáticas estão com elas desativadas. Você pode ativar ou desativar em qualquer site em Configurações > Segurança. Se um problema estiver sendo explorado ativamente, podemos aplicar a atualização mesmo assim e tirar o site do ar até que seja corrigido. Veja nossos Termos de Serviço.

Alguns problemas pedem mais do que uma atualização de versão, como uma nova versão principal ou uma mudança no seu código. Nunca aplicamos essas por conta própria. Elas ficam sinalizadas para você, com uma correção em um clique.

Alertas por e-mail

• Problemas críticos: quando um site publicado tem um novo problema crítico, o dono recebe um e-mail. Isso vem ativado por padrão, e você pode desativar em Configurações > Segurança.
• Problemas de gravidade alta: reunidos em um resumo semanal.

Verificações na publicação

Toda publicação roda a verificação de pacotes e a verificação de código, e os resultados aparecem na janela de publicação.

Se você prefere nunca publicar com um problema crítico em aberto, pode bloquear a publicação até que ele seja corrigido. Isso vem desativado por padrão, e você ativa em Configurações > Segurança.

O que o WebTwizz cuida

Você não precisa fazer nada com relação a estes. Nós os mantemos seguros e atualizados:

• A base inicial e os templates: a base a partir da qual todo site novo é criado e todos os templates da galeria
• Ambientes de pré-visualização: a pré-visualização de cada site roda em uma máquina virtual isolada só dele
• Hospedagem: a hospedagem do WebTwizz para sites em endereços webtwizz.app e em domínios próprios
• Segredos: chaves de API e outros valores secretos são armazenados criptografados. Você os informa apenas no WebTwizz, nunca em um chat com um assistente de IA
• Sites privados e protegidos por senha: o acesso é verificado antes de o site carregar

Prazos de resposta

Quando um pacote fornecido pelo WebTwizz tem um problema de segurança conhecido, corrigimos em até:

• Crítico: 72 horas
• Alto: 14 dias

Como relatar uma vulnerabilidade

Se você encontrar um problema de segurança, envie um e-mail para security@webtwizz.com. Vamos responder e manter você informado enquanto corrigimos.

O que incluir

• O que você encontrou e onde: o endereço, a página ou o recurso
• Os passos para reproduzir
• O que alguém poderia fazer com ele
• Como falar com você se tivermos dúvidas

Escopo

A plataforma WebTwizz, incluindo webtwizz.com, o editor e o painel, e os sites hospedados no WebTwizz, em endereços webtwizz.app ou em domínios próprios.

Porto seguro

Se você pesquisar de boa-fé e seguir esta página, não tomaremos medidas legais contra você e trataremos a sua pesquisa como autorizada. Por favor:

• Não acesse, altere nem apague dados de outras pessoas. Se chegar aos dados de alguém por acidente, pare, não guarde cópia e nos avise
• Teste apenas com contas e sites que são seus ou que você tem permissão para testar
• Não faça testes que deixem lentos ou derrubem o WebTwizz ou os sites hospedados nele
• Dê um prazo razoável para corrigirmos um problema antes de divulgá-lo publicamente

Avisos de segurança

Atualizações de segurança que afetaram, ou poderiam ter afetado, sites no WebTwizz, e o que fizemos a respeito.

Outubro de 2026: atualização de segurança do Next.js

• O que foi: correções para três vulnerabilidades no Next.js, duas críticas e uma alta
• Sites do WebTwizz afetados: sim, sites em versões anteriores do Next.js
• O que fizemos: passamos a base inicial e todos os templates da galeria para o Next.js 16.4.2, que tem as correções, e atualizamos os ambientes de pré-visualização. Os sites publicados afetados estão sendo atualizados.

Fale conosco

Para relatos de segurança, envie um e-mail para security@webtwizz.com. Para qualquer outro assunto: