check-pre-lancamento

Antes de divulgar o link, deixe a IA fazer o que um auditor faria:
procurar chave exposta, banco aberto, rota sem login, e-mail que não chega e conta que pode estourar.

_{Uma skill para Claude, Codex, Cursor, Copilot, Gemini e outros agentes. Lê o seu código e o seu site e entrega um relatório com veredito, nota e as correções prontas para o próprio agente aplicar.}

🧭 Como funciona

1. Varredura. Um scanner (Python, sem instalar nada) lê o código e o histórico do git e, se você passar a URL, o site publicado. Ele procura chaves secretas, regras do banco, rotas, configurações e dependências vulneráveis.
2. Revisão. O agente abre cada achado, descarta falso positivo e revisa rota a rota o que scanner nenhum resolve sozinho: quem pode ler o quê, o que entra sem validação, o que sai a mais.
3. Relatório. O check-report/RELATORIO.md traz o veredito (🔴 não lance · 🟡 ajuste antes · 🟢 pode lançar), a nota de segurança, a nota de prontidão e cada problema com arquivo:linha, risco e correção.
4. Correção. O check-report/CORRECOES.md é o plano para o agente: uma task por vez, com prompt pronto, critério de aceite e commit. Você diz "aplique as correções" e acompanha.

✅ O que ela checa

Claude Code

_{Recomendado: ele lê o projeto inteiro, roda o scanner e já aplica as correções.}

Como plugin (atualiza com um comando). Dentro do Claude Code:

/plugin marketplace add dantaspaulo/check-pre-lancamento
/plugin install check-pre-lancamento@check-pre-lancamento

Ou como skill pessoal (no terminal):

git clone https://github.com/dantaspaulo/check-pre-lancamento.git
cp -R check-pre-lancamento/skills/check-pre-lancamento ~/.claude/skills/

Depois, na pasta do projeto: /check-pre-lancamento ou "faz o check pré-lançamento". Como plugin, o comando é /check-pre-lancamento:check-pre-lancamento. Para atualizar o plugin: /plugin marketplace update check-pre-lancamento.

Claude.ai e app do Claude

_{Web, desktop e celular. Bom para quem não programa: você anexa o projeto e conversa.}

1. Em Configurações → Capacidades (Settings → Capabilities), ligue Execução de código e criação de arquivos (Code execution and file creation).
2. Baixe o check-pre-lancamento.zip. Não use o botão "Download ZIP" do GitHub: ele traz o repositório inteiro, e não só a skill.
3. Em Personalizar → Skills → + → Enviar uma skill (Customize → Skills → + → Upload a skill), escolha o .zip.
4. Numa conversa nova, anexe o projeto zipado (ou conecte o repositório do GitHub) e peça: "faz o check pré-lançamento". Passe também a URL do site publicado.

_{O nome dos menus pode variar um pouco com a versão do app.}

OpenAI Codex

_{CLI, extensão de IDE e app.}

$skill-installer install https://github.com/dantaspaulo/check-pre-lancamento/tree/main/skills/check-pre-lancamento

Ou copie a pasta skills/check-pre-lancamento para ~/.agents/skills/ (no seu usuário) ou .agents/skills/ (no projeto). Para usar: $check-pre-lancamento, ou peça o check. Se não aparecer, reinicie o Codex.

Cursor, Copilot, Gemini e outros

Um comando para qualquer agente (Node 22.20+). Ele pergunta em quais ferramentas instalar:

npx skills add dantaspaulo/check-pre-lancamento

Ou copie a pasta skills/check-pre-lancamento para o lugar que a sua ferramenta lê:

_{💡 .agents/skills/ é a pasta universal: Codex, Cursor, Copilot, Gemini, Antigravity, Windsurf, OpenCode, Amp e Goose leem dela.}

# GitHub Copilot (gh 2.90 ou mais novo)
gh skill install dantaspaulo/check-pre-lancamento check-pre-lancamento

# Gemini CLI
gemini skills install https://github.com/dantaspaulo/check-pre-lancamento.git --path skills/check-pre-lancamento

# npx skills, escolhendo as ferramentas e instalando no seu usuário
npx skills add dantaspaulo/check-pre-lancamento -g -a claude-code -a codex -a cursor -a github-copilot

Lovable, Bolt e Replit

_{Essas plataformas importam skills, mas não rodam os scripts Python. A skill tem um modo manual: o agente segue as mesmas checagens lendo o código.}

• Lovable: Configurações do workspace → Skills → Adicionar → Importar do GitHub, com o endereço https://github.com/dantaspaulo/check-pre-lancamento/tree/main/skills/check-pre-lancamento. Ou envie o .zip.
• Bolt: Configurações → Skills → Adicionar skill → Do GitHub, com o mesmo endereço.
• Replit: no Agent, + → Usar uma skill → cole o endereço → Importar.

_{Para a varredura completa (histórico do git, sondagem do banco, auditoria de dependências), sincronize o projeto com o GitHub e rode o check no Claude Code ou no Codex.}

Sem agente nenhum

O scanner roda sozinho, inclusive no CI:

python3 skills/check-pre-lancamento/scripts/scan.py /caminho/do/projeto
python3 skills/check-pre-lancamento/scripts/check_url.py https://meuapp.com.br

_{Python 3.8+ só com a biblioteca padrão. No Windows, use python ou py -3 no lugar de python3. Git, npm, pip-audit, composer, osv-scanner e govulncheck são usados se existirem.}

O resultado fica em check-report/:

🔴 Veredito: NÃO LANCE AINDA
Nota de segurança: 49/100 · Nota de prontidão: 60/100

| #   | Item                 | Status     | Severidade | O que encontrei                                          |
|-----|----------------------|------------|------------|----------------------------------------------------------|
| 01  | Esconder API Keys    | ❌ FALHA   | 🔴 CRÍTICO | chave da OpenAI no bundle via VITE_OPENAI_API_KEY        |
| 04  | Ativar RLS           | ❌ FALHA   | 🔴 CRÍTICO | agendamentos sem RLS: 1.204 linhas visíveis sem login    |
| 06  | Auth server-side     | ⚠️ ATENÇÃO | 🟠 ALTO    | Edge Function lembrete com verify_jwt = false            |
| P06 | E-mail e domínio     | ❌ FALHA   | 🟠 ALTO    | confirmação pelo SMTP padrão do Supabase; sem DMARC      |

📄 Veja o exemplo completo (app fictício feito na Lovable): RELATORIO.md · CORRECOES.md

_{No seu projeto, o relatório fica fora do git (.git/info/exclude) porque mapeia as falhas do app.}

O relatório termina com os prompts que combinam com o que foi achado. Copie, cole no seu agente aberto na pasta do projeto, e ele faz o próximo passo do jeito seguro. A lista completa está em PROMPTS.md:

🧩 Funciona com

_{Para cada stack há um guia com onde olhar e como corrigir: front e mobile · back-end JS · PHP, Python e Ruby · Java, .NET e Go · Supabase, Firebase e cia. · plataformas}

• Roda onde o seu agente roda: no seu computador (Claude Code, Codex, Cursor) ou na sandbox do Claude (claude.ai). Os scripts não mandam o seu código para lugar nenhum. Sem telemetria. A rede só é usada para:
  • a auditoria de dependências (npm audit e afins);
  • o site que você indicar;
  • a consulta de DNS do seu domínio.
• Não altera nada durante a auditoria. Escreve só a pasta check-report/. Correção, só se você pedir.
• Nunca mostra uma chave inteira. O relatório, o JSON e o chat mostram só o começo da chave (sk-pro…****). Para ver o conteúdo de um arquivo, o agente usa um leitor que já mascara os valores.
• Teste de site é educado. Só requisições normais, sem ataque, sem força bruta, só no seu domínio. A sondagem do banco é opcional, só lê e só roda com o seu OK.
• Código aberto para leitura. Tudo em Python padrão, sem dependências, com testes que montam 15 projetos de exemplo a cada mudança.

Substitui um pentest?
Não. É triagem automatizada mais revisão de código por IA. Pega a maioria dos erros que derrubam app feito rápido. Para app com dinheiro, saúde ou dado sensível em escala, contrate também um teste profissional.

Fiz o app no Lovable/Bolt e não sei programar. Serve?
Serve. Pelo claude.ai: anexe o projeto (ou conecte o GitHub), passe a URL e peça o check. O relatório explica cada problema pelo efeito ("qualquer um lê todos os pedidos"). Em "aplique as correções", o agente faz o trabalho.

Posso usar nos projetos dos meus clientes?
Pode, inclusive comercialmente. O que a licença não deixa é vender ou republicar a skill sem crédito. Se você entregar relatórios a clientes, mantenha o rodapé de crédito.

Funciona no Windows?
Funciona. Use python ou py -3 em vez de python3. No npx skills, se o link der problema, use --copy.

Apareceu achado de pasta que não vai para o ar (docs, cópias locais, sincronização)?
O scanner já deixa de fora das regras de código as pastas que o .gitignore ignora (num repositório git) e as pastas docs/ e examples/ da raiz, e comentário não conta como código. Num zip sem git, tudo o que veio entra, porque tudo estava versionado. Para outra pasta, peça ao agente para ignorá-la (--ignorar pasta/) ou crie na raiz um .check-pre-lancamento-ignore no formato do .gitignore. Chave secreta continua sendo procurada nessas pastas, e o relatório diz o que ficou de fora.

Meu app no Supabase começou a dar erro 42501 (permission denied) depois de 30/10/2026. E agora?
A partir de 30/10/2026, tabela nova no schema public nasce sem GRANT (em projeto criado depois de 30/05/2026, já era assim). Não resolva com GRANT em massa (on all tables ou on all functions): isso reabre as tabelas privadas e as funções internas. Dê GRANT tabela por tabela, só ao papel que precisa. Os prompts PA04 e PA05 fazem isso com você.

Como atualizar?

• Plugin do Claude Code: /plugin marketplace update check-pre-lancamento.
• npx skills: npx skills update.
• Pasta copiada: baixe de novo o .zip da última versão.

Como sei que baixei a versão oficial?
Rode python3 scripts/autoria.py dentro da pasta da skill. Ele confere cada arquivo com o manifesto AUTORIA.json da versão publicada. O hash SHA-256 de cada .zip está no release.

check-pre-lancamento foi criada por Paulo Sérgio Dantas e é distribuída gratuitamente pela Licença de Uso com Atribuição v1.0:

• ✅ Pode: usar de graça, inclusive comercialmente e nos projetos de clientes; modificar para uso próprio; divulgar o link.
• ✅ Pode redistribuir, só de graça, mantendo todos os avisos de autoria, com crédito visível e as mudanças indicadas.
• ❌ Não pode: vender a skill ou uma versão dela, apagar ou trocar os créditos, ou apresentar como sua.

Os créditos são protegidos de quatro formas:

• um aviso em cada arquivo;
• o manifesto AUTORIA.json, com o hash de cada arquivo;
• a impressão CPL-PSD-2026;
• uma trava: o gerador de relatório se recusa a funcionar com os créditos trocados.

Detalhes em NOTICE.md. Para citar, use o botão "Cite this repository" aqui do lado (ou o CITATION.cff):

check-pre-lancamento, skill de Paulo Sérgio Dantas · github.com/dantaspaulo/check-pre-lancamento