fixmy.cloud faz Pentest automatizado da sua aplicação web: 26 módulos cobrindo o OWASP Top 10, com validação por PoC e relatório com CVSS.
Prove a posse do domínio e escaneie o que é seu, em minutos, na sua conta fixmy.cloud.
Scanner de segurança ofensiva para a sua aplicação web. 26 módulos cobrindo o OWASP Top 10, com validação por PoC e relatório com CVSS. Prove a posse do domínio e escaneie o que é seu.
Pergunta honesta
Interface bonita, deploy em 10 minutos, funciona, parece seguro. Mas ninguém testou. Ninguém tentou invadir. Ninguém verificou se o código gerado por IA colocou uma SQL Injection no seu endpoint de login. É a sua empresa. É o seu negócio.
// O que encontramos em aplicações em produção nos últimos 30 dias:
Tudo isso em aplicações que estavam em produção. Com clientes reais. Com dados reais.
A interface era bonita. A segurança, não.
Custo médio de violação no Brasil
Módulos de teste automatizados
Tempo médio por scan completo
Falsos positivos (validado com PoC)
26 módulos cobrindo toda a superfície de ataque da sua aplicação.
SQLi, XSS, SSTI e Command Injection com payloads atualizados e bypass de WAF.
Brute force, JWT manipulation, MFA bypass e session management flaws.
IDOR, Privilege Escalation, CORS misconfiguration e broken access control.
REST, GraphQL, Mass Assignment, BOLA e broken object level authorization.
SSRF, Cloud Metadata exposure, Subdomain Takeover e misconfigurations.
File upload bypass, Path traversal, Local File Inclusion e RCE via upload.
DOM XSS, Clickjacking, WebSocket hijacking e prototype pollution.
Race conditions, Workflow bypass, Price manipulation e business logic flaws.
OWASP Top 10, PCI DSS, NIST, SOC 2 e LGPD com mapping automático.
Três passos do setup ao relatório completo.
Adicione seu domínio e verifique a propriedade via DNS TXT ou meta tag.
Nossos agentes testam sua aplicação como um hacker real, com 26 módulos especializados.
Receba relatório com PoC, CVSS score e remediação pronta para implementar.
Ative o modo IA e transforme findings técnicos em inteligência acionável para toda a organização.
// Threat Model (STRIDE)
Spoofing: JWT sem validação de issuer
Tampering: Mass assignment em /api/profile
Elevation: IDOR permite acesso admin
// Attack Chain #1
SQLi → Data Exfil → Token Forge → Admin
Impacto: Crítico (acesso total)
// Fix (Node.js)
const query = db.prepare('SELECT *
FROM users WHERE id = ?');
query.run(req.params.id);
Pré-pago, sem mensalidade. Compre créditos, eles valem por 12 meses e você paga só pelo que usar.
Quanto cada scan consome em créditos de scan:
Modo IA (opcional): carteira de créditos separada, 1 crédito de IA por scan.
| fixmy.cloud | Pentest Manual | Scanner (DAST) | |
|---|---|---|---|
| Tempo | < 30 min | 2-4 semanas | < 5 min |
| Custo | A partir de R$390/scan | R$18k-60k pontual | R$500-2k/mês |
| Validação com PoC | Sim | Sim | Não |
| Business Logic | Com IA | Sim | Não |
| Contínuo | Sim | Não | Sim |
| OWASP Top 10 | Completo | Completo | Parcial |
| Relatório Compliance | Sim | Sim | Básico |
O que é, como funciona e quanto custa o fixmy.cloud.
O fixmy.cloud é uma plataforma de pentest (teste de invasão) automatizado para aplicações web. São 26 módulos que cobrem o OWASP Top 10, com validação por prova de conceito (PoC) e relatório com classificação CVSS e CWE. Você prova a posse do seu domínio e escaneia a sua própria aplicação em minutos.
Em três passos: você cadastra o domínio e prova a posse (via registro DNS TXT ou arquivo HTTP), dispara o scan contra a sua aplicação e acompanha o resultado em tempo real. Ao final, recebe um relatório com os achados, severidade (CVSS), referência OWASP/CWE e recomendações de correção.
É pré-pago por créditos, sem mensalidade. Os pacotes de scan são: 10 créditos por R$3.900, 50 por R$16.500 (15% off) e 200 por R$54.600 (30% off). Cada scan consome créditos conforme a profundidade (Essencial 1, Completo 3, Intrusivo 5). Os créditos valem por 12 meses.
Não. Você só pode escanear domínios cuja posse foi comprovada na sua conta. Isso garante que o teste de segurança seja feito apenas em aplicações que você controla, respeitando autorização e boas práticas de segurança ofensiva.
Cada achado traz severidade CVSS, categoria OWASP Top 10, identificador CWE, evidência da validação (PoC) e orientação de correção. O relatório pode ser exportado em PDF, HTML e JSON, e também consultado via MCP.
O Modo IA transforma os achados técnicos em inteligência acionável: prioriza riscos, descreve cadeias de ataque e sugere correções em linguagem clara para o time de desenvolvimento. É opcional e consome créditos de IA (carteira separada).
Crie sua conta, prove a posse do domínio e rode o seu primeiro pentest.