Relatório de exemplo

22 problemas, todos abertos

É assim que o relatório completo fica. Abra qualquer problema para ver as evidências, o risco e como corrigir.

• CríticaPagamentosSua chave secreta da Stripe aparece no código do site

  Qualquer pessoa pode copiar esta chave e agir como sua conta da Stripe: ver seus clientes e pagamentos, fazer reembolsos ou criar cobranças. Dinheiro de verdade pode sair da sua conta.

  Faça isto hoje: Revogue esta chave agora no painel da Stripe e crie uma nova. Ela já é pública, então tirá-la do código não basta.

  Como corrigir

  1. Revogue esta chave agora no painel da Stripe e crie uma nova. Ela já é pública, então tirá-la do código não basta.
  2. Leve a nova chave só para o servidor: uma Edge Function, rota de API ou backend, lendo-a de uma variável de ambiente secreta. Nunca use um prefixo público como VITE_, NEXT_PUBLIC_ ou REACT_APP_ para ela.
  3. Faça a página chamar sua função de servidor em vez de usar a chave diretamente.
  4. No navegador use só a chave publicável. Crie as sessões de checkout no servidor com a chave secreta.
  5. Publique o site de novo e rode esta verificação para confirmar que a chave sumiu.

  LovableBoltCursorReplit

  Copiar prompt

  My app exposes a Stripe live secret key in the frontend code that every visitor downloads (it starts with "sk_liv…"). Remove this key from all client-side code and from any environment variables that get bundled into the browser. Move every operation that needs it into a server-side function that reads the key from a secret environment variable, and change the frontend to call that function instead. In the browser use only the publishable key. Create checkout sessions on the server with the secret key. I will revoke the old key and add the new one to the secrets myself. If this needs a secret key, put the server-side code in a Supabase Edge Function and store the key in the project's secrets (not in the code). Keep everything else working exactly as it does now and don't touch unrelated files. When you're done, list what you changed.

  O que encontramos

  https://demo.okaytoship.com/assets/index-D6yG_D9G.jsStripe live secret key: sk_liv…

• CríticaSegurançaA chave mestra do seu banco de dados aparece no código do site
• AltaSEOBuscadores e prévias de links veem uma página vazia
• AltaPagamentosO preço pode estar sendo decidido pelo navegador do visitante
• AltaJurídicoNão há link para a Política de Privacidade na sua página inicial
• AltaCustosSeu site chama a OpenAI direto do navegador do visitante
• MédiaSegurançaOs navegadores não são instruídos a sempre usar a versão segura do seu site
• MédiaSegurançaFaltam 4 cabeçalhos de proteção do navegador
• MédiaSegurançaO código-fonte original do seu app é publicado junto com o site
• MédiaSEOO título da sua página ainda é o padrão do template
• MédiaSEOSua página não tem descrição para os resultados de busca
• MédiaSEOLinks para o seu site não mostram uma prévia adequada
• MédiaJurídicoQualquer um pode enviar emails fingindo ser o seu domínio (sem SPF)
• MédiaJurídicoNada impede golpistas de falsificar emails do seu domínio (sem DMARC)
• MédiaJurídicoSeu site rastreia visitantes sem pedir consentimento de cookies
• BaixaSEONenhum endereço canônico definido
• BaixaSEONão há arquivo robots.txt
• BaixaSEONão há sitemap para os buscadores
• BaixaJurídicoEmails enviados para @okaytoship.com voltam
• BaixaJurídicoNão há link para os Termos de Serviço na sua página inicial
• BaixaJurídicoOs visitantes não acham como falar com você
• InfoPagamentosNão encontramos uma forma de pagar na sua página inicial