Raio-X de Produção · diagnóstico em 48 h
Seu app feito com IA vai receber o primeiro cliente pagante?
Raio-X de Produção: em 48 h, um relatório em português com o que pode dar errado — permissões, pagamento, segredos, acesso — em ordem de gravidade, com a correção de cada item e a mais crítica já aplicada. Começa com uma varredura externa gratuita.
O exemplo em PDF é de um app de demonstração, empresa fictícia.
O problema
Apps gerados com Lovable, Bolt, Cursor, Claude Code ou ChatGPT funcionam na demonstração. Os problemas aparecem quando alguém não usa o app como o esperado: um cliente curioso que troca um número na URL, um script, o provedor de pagamento reenviando uma notificação. Em novembro de 2026 uma pesquisa independente sobre 24.664 sites feitos no Lovable encontrou e-mails de usuários expostos em 30% deles, além de documentos, pagamentos e faturas (Crissy Field / Handelsblatt, 02/11/2026). Não é culpa da ferramenta; é o que acontece quando ninguém lê o código antes de cobrar.
Eu leio. Em modo somente leitura, verifico 15 pontos que decidem se o app aguenta usuário real, devolvo um relatório que o dono entende e já aplico a correção mais crítica, com um teste que prova que ficou corrigida.
Para quem é
É para você se:
- o app está no ar ou vai ao ar nas próximas semanas;
- ele guarda dados de clientes ou recebe pagamento;
- foi gerado total ou majoritariamente por IA (React/Vite, Next.js, Supabase/PostgreSQL).
Não é para:
- apps nativos publicados em loja, WordPress ou apps só em Firebase;
- apostas ou conteúdo adulto;
- emergências ao vivo ("caiu agora") — para isso você precisa de plantão, e eu não faço plantão.
Como funciona
Fase 1 · Varredura externa
grátis · 24 h
Você me manda a URL e autoriza por escrito. Eu olho só o que um navegador comum vê ao abrir o site (cabeçalhos de segurança, cookies, chaves visíveis no código entregue ao navegador) e devolvo um PDF de 1 página com até 3 observações.
- O que você recebe
- PDF de 1 página: até 3 observações feitas só no ambiente público (o que um navegador vê ao abrir o site: cabeçalhos de segurança, cookies, chaves visíveis no código entregue ao navegador, CORS); 1 frase do que a Fase 2 cobriria.
- Prazo e preço
- 24 h · R$ 0
- O que precisa vir de você
- A URL pública e a autorização por escrito (1 linha, no e-mail).
Fase 2 · Raio-X de Produção
R$ 490 · 48 h
Com acesso somente leitura ao código e ao esquema do banco, verifico os 15 pontos, escrevo o relatório, aplico a correção mais crítica em um pull request com teste e fecho o orçamento do conserto. Os 3 primeiros clientes pagam na entrega.
- O que você recebe
- PDF de 8–15 páginas em português: resumo para o dono, achados em ordem de gravidade com evidência e correção, 1 correção crítica aplicada em pull request com teste, checklist dos 15 itens, "o que não mexi e por quê", orçamento do conserto.
- Prazo e preço
- 48 h após receber o acesso · R$ 490 na entrega (3 primeiros clientes); depois 50% ao fechar + 50% na entrega.
- O que precisa vir de você
- Convite de leitura ao repositório (GitHub/GitLab) ou zip; pasta
supabase/migrations ou dump do schema (nunca dados de produção); conta de teste se houver; lista de papéis de usuário e do que o app nunca pode permitir.
Fase 3 · Conserto
R$ 1.500 a R$ 2.500 · 5 dias úteis
Todos os itens críticos e altos corrigidos em pull requests pequenos, cada um com teste. Preço fechado no relatório da Fase 2. Metade ao começar, metade na entrega.
- O que você recebe
- Todos os achados críticos e altos corrigidos em PRs revisáveis, cada um com teste; checklist de "pronto para cobrar" assinado.
- Prazo e preço
- 5 dias úteis · R$ 1.500–2.500 (fechado no relatório da Fase 2), 50/50.
- O que precisa vir de você
- Mesmo acesso + permissão para abrir PRs.
Os 15 pontos verificados
- Chave secreta visível no código entregue ao navegador (bundle), inclusive variáveis
NEXT_PUBLIC_* / VITE_*
- Um cliente conseguir ver ou alterar dados de outro (id do usuário vindo da requisição, não da sessão)
- Permissões no banco (Supabase RLS): tabelas sem RLS,
USING (true), políticas que só checam "está logado", SECURITY DEFINER, user_metadata
- Webhook de pagamento sem verificação de assinatura e cobrança duplicada em reenvio
- Preço ou valor definido pelo cliente; entrada sem validação
- Tentativas ilimitadas de senha
- Cadastro duplicado (e-mail em maiúscula/minúscula, condição de corrida)
- Fuso horário errado em agendamentos e prazos
- Erros escondidos (build ignorando erros de tipo,
catch vazio, webhook engolindo falha)
- Cookie de sessão sem
Secure/HttpOnly/SameSite; configuração de autenticação
- Cabeçalhos de segurança, CORS e cookies no ambiente público
- Segredos no repositório e no histórico do git
- Dependências com vulnerabilidade conhecida
- Backup e migrações do banco (existe? está versionado? quem restaura?)
- Deploy e acesso: quem tem acesso ao projeto, ambiente de preview apontando para produção, 2FA nas contas de infraestrutura
O que você recebe
Ao fim da Fase 2, em até 48 h após receber o acesso:
- relatório em PDF de 8 a 15 páginas, em português: resumo para o dono e achados em ordem de gravidade, cada um com evidência e correção;
- 1 correção crítica aplicada em pull request com teste;
- checklist dos 15 pontos, com o que foi verificado e como;
- "o que não mexi e por quê";
- orçamento fechado do conserto (Fase 3).
Ver um relatório de exemplo (PDF): app de demonstração, empresa fictícia.
Um resultado limpo não prova que o app é seguro: o relatório diz o que foi verificado e como, e o checklist assinado cobre só os itens verificados e corrigidos.
Preço e pagamento
R$ 490
R$ 490 na entrega, por Pix, para os 3 primeiros clientes.
A partir do 4º cliente: metade ao fechar, metade na entrega. A Fase 1 não tem custo; a Fase 3 é orçada no relatório da Fase 2.
Prefere começar menor e mais rápido? Varredura paga: R$ 147, entrega em 4 h. Inclui a varredura externa mais a leitura de 3 arquivos-chave do repositório e 1 página de achados por gravidade. Pix depois de ler; o valor abate do Raio-X completo.
O Pix exibirá o nome Tales Andre Costa Valcacer (nome legal; Tales Ferraz é a marca). Recibo de pessoa física; não emito NF-e.
O pagamento é combinado por e-mail e normalmente acontece na entrega, por Pix. O checkout abaixo é para quem preferir pagar adiantado por cartão (à vista ou parcelado), boleto ou Pix.
Para os 3 primeiros clientes a Fase 2 continua sendo paga na entrega; o checkout é opcional.
Garantias e termos
- Se o relatório não apontar nenhum item de gravidade alta ou crítica, você não paga a Fase 2; se já tiver pago adiantado, devolvo o valor integral.
- Direito de arrependimento: 7 dias a contar do pagamento, devolução integral (Código de Defesa do Consumidor, art. 49).
- Acesso somente leitura. Nada do seu código ou dados entra em repositório público. Os arquivos recebidos são apagados 7 dias após a entrega, salvo pedido seu.
- Checagens no ambiente público só com a sua autorização por escrito, e só do tipo que um navegador comum faz ao abrir o site.
- Recibo em nome de pessoa física (Tales Andre Costa Valcacer, CPF). Não emito nota fiscal eletrônica.
Perguntas frequentes
- Vai reescrever meu app?
- Não. Primeiro leitura, depois as menores mudanças que tiram os maiores riscos.
- Não entendo de código. Vou entender o relatório?
- Sim. Cada achado diz o que pode acontecer com o seu negócio, em português. A parte técnica fica numa seção separada para quem for corrigir.
- Você construiu apps com Lovable ou Bolt?
- Não construo com eles. Reviso e conserto o código que eles geram (React, Next.js, Supabase, PostgreSQL), que é o que uso todo dia.
- Por que a Fase 1 é grátis?
- Porque é rápida, não exige acesso ao código e mostra se vale a pena seguir. Se a varredura não encontrar nada, eu digo isso.
- Como você acessa meu código?
- Convite de leitura ao repositório (GitHub/GitLab) ou um zip. No Lovable, a sincronização com o GitHub está disponível em todos os planos. Nunca peço senha de produção nem dados de clientes.
- Preciso dar acesso ao banco?
- Não ao banco de produção. Basta a pasta de migrações (
supabase/migrations) ou um dump do esquema sem dados.
- E se eu quiser cancelar?
- Até 7 dias após o pagamento, devolução integral (CDC, art. 49). Antes disso, se o relatório não apontar nada de gravidade alta ou crítica, você não paga a Fase 2; se já tiver pago adiantado, devolvo o valor integral.
- Vocês fazem acompanhamento depois?
- Não. O relatório e os PRs são a entrega. Mudanças futuras são um novo projeto fechado.
- Emite nota fiscal?
- Não. Recibo em nome de pessoa física (Tales Andre Costa Valcacer). Se sua empresa exige NF-e, me avise antes; nesse caso não consigo atender.
- Posso pagar com cartão?
- Pix é o padrão. Cartão (à vista ou parcelado), boleto ou Pix adiantado pela Kiwify, pelo botão do bloco “Preço e pagamento”.
- O que acontece com meus arquivos?
- Ficam só comigo, em máquina própria, e são apagados 7 dias após a entrega, salvo pedido seu. Nada entra em repositório público.
- Você faz reunião?
- Não. Tudo por e-mail ou mensagem, no seu ritmo.
Pedir a varredura gratuita
Fase 1, sem custo: você manda o link do app, eu devolvo em até 24 h um PDF de 1 página com o que um navegador comum vê ao abrir o site.
Com pressa: varredura paga, R$ 147, em 4 h, com a leitura de 3 arquivos-chave do repositório. Pix depois de ler.
Prefere e-mail? Escreva para talesvalcacer@gmail.com. Se o envio do formulário falhar, escreva para esse mesmo endereço com o link do app.