Attack Surface

O Attack Surface olha o seu site de fora e vê só o que qualquer visitante recebe. Ele lê o seu DNS público, confere o HTTPS e os cabeçalhos e cookies da página inicial, e procura chaves e arquivos deixados públicos. Cada achado diz o que significa e como corrigir. Não precisa de conector e está no Free.

O que ele confere

Uma varredura roda dez conferências no domínio que você confirmou:

• DNS e e-mail: SPF e DMARC, um domínio sem e-mail que outros podem usar para enviar em seu nome, quais autoridades de certificado podem emitir para você (CAA), subdomínios que apontam para um nome que não existe mais, e subdomínios que respondem fora da Cloudflare. Os subdomínios vêm dos registros públicos de certificados e de uma lista de nomes comuns.
• Cabeçalhos de segurança: HSTS, tipo de conteúdo, moldura, Referrer-Policy, Permissions-Policy, Content Security Policy, e cabeçalhos que revelam versão de software. Eles recebem uma nota de A+ a F, a mesma do Page Shield.
• HTTPS: o redirecionamento a partir do HTTP comum, o certificado, e se o servidor ainda aceita TLS 1.0 ou 1.1.
• Cookies gravados pela página inicial: Secure, HttpOnly e SameSite.
• Scripts de terceiro carregados sem conferência de integridade (SRI).
• Privacidade: rastreadores que carregam sem banner de consentimento na página.
• Source maps que publicam o código original do front-end.
• Chaves secretas no JavaScript enviado aos visitantes: Stripe, Supabase, OpenAI, Anthropic e GitHub.
• Configuração de banco de dados no front-end (Supabase, Firebase), com o que protege os dados por trás.
• Arquivos deixados públicos: /.env, /.env.local, /.env.production e /.git/HEAD.

Como ligar

A varredura só roda num domínio que você provou ser seu.

1. No painel, abra o seu site e vá em Configurações do site. Em Domínio, digite o nome do host, como loja.exemplo.com.br, e salve.
2. Onde você gerencia o DNS desse domínio, adicione o registro TXT que a página mostra. O nome é _qlyne.loja.exemplo.com.br e o valor começa com qlyne-site-verification=.
3. Clique em Conferir agora. Quando aparecer Confirmado, você já pode remover o registro.
4. Vá em Attack Surface, Visão geral, e clique em Varrer agora. A página se atualiza sozinha enquanto a varredura roda.

Daí em diante, o Qlyne varre de novo todo domínio confirmado uma vez por dia, sem você fazer nada. Você também pode disparar uma varredura, uma a cada 10 minutos. Trocar o domínio em Configurações do site pede uma confirmação nova, com outro valor para o registro.

Com o servidor MCP, um assistente de IA confirma o domínio, dispara a varredura e lê o relatório.

Num site atrás do Qlyne

Os pedidos do scanner levam um cabeçalho assinado com o segredo do seu conector, para a armadilha para scanner do seu próprio site deixar passar. Todas as outras regras valem para o scanner como para qualquer visitante. As páginas de desafio e de bloqueio do conector são reconhecidas e nunca viram achado sobre o seu site.

O que você vê

A Visão geral do Attack Surface mostra a última varredura concluída:

• O domínio, a nota dos cabeçalhos, quando rodou, quantas consultas de DNS e pedidos fez, e quantos segundos levou.
• Notas sobre o que não pôde ser conferido desta vez, como registros de certificados que não responderam.
• A contagem de achados por severidade: Crítico, Alto, Médio, Baixo e Informativo, com filtro.
• Cada achado com severidade, título, código (como QLY-FIL-001), o CWE quando houver, e a evidência. Depois o impacto, a Correção: e links para ler mais. Novo marca o que apareceu nesta varredura.
• Corrigido desde a varredura anterior, com o que sumiu.
• Histórico, com as últimas 10 varreduras.

A evidência nunca guarda segredo. Um .env público mostra os nomes das configurações, nunca os valores, e as chaves aparecem mascaradas.

A visão geral do site resume a última varredura. Uma chave secreta ou uma configuração de banco encontrada no front-end aparece lá também, em “Fora do que o conector vê”, com link para o achado.

Ao lado do relatório, JSON e Markdown baixam o arquivo. O Markdown cola num ticket ou vai para quem corrige o site; o JSON alimenta outra ferramenta. Só quem pode editar o site abre o relatório e baixa.

Limites

• Ele só lê. Todo pedido é um GET sem cookies. Nunca entra com login, envia formulário, tenta senha, manda carga de ataque ou consulta o seu banco de dados.
• Fica no domínio confirmado e nos subdomínios dele, em endereços públicos, nas portas 80 e 443. Nunca segue link para outro domínio.
• No máximo 30 pedidos ao seu site por varredura, 10 segundos cada. Na página inicial, lê até 5 scripts do seu próprio domínio.
• Ainda não roda JavaScript. Cookies e scripts que o seu código acrescenta depois de a página carregar não entram no relatório. Os cookies vêm só da página inicial.
• Não procura versão de software com vulnerabilidade conhecida e não varre portas.
• Um achado não pode ser escondido nem marcado como aceito. Ele sai do relatório quando a varredura seguinte não o vê mais.
• O histórico mostra o que é novo e o que foi corrigido desde a varredura anterior. Não há tendência ao longo do tempo.

Perguntas frequentes

Vai derrubar o meu site?

Não. Uma varredura faz no máximo 30 pedidos GET, a próxima só começa 10 minutos depois, e a varredura automática roda uma vez por dia. Dois desses pedidos tentam TLS 1.0 e 1.1, que um servidor bem configurado recusa. Nada é enviado a formulário, login ou banco de dados.

Quanto tempo leva?

Na nossa produção, as 9 varreduras concluídas entre 10 e 18 de outubro de 2026 levaram de 3 a 59 segundos cada (medido em 18 de outubro de 2026). Uma varredura para depois de 5 minutos, no máximo. O relatório diz quanto a sua levou.

Posso varrer o site de outra pessoa?

Não. A varredura só roda depois que o registro TXT aparece no DNS do domínio, e só quem controla esse DNS consegue publicá-lo. Se QlyneScanner/1.0 aparece nos logs de um site que você não confirmou, o scanner do Qlyne explica o que ele pediu e como parar.

O que eu faço com um achado crítico?

Dois achados são críticos: um arquivo de ambiente público (QLY-FIL-001) e uma chave secreta no JavaScript (QLY-SEC-001). Trate o que eles expõem como vazado. Primeiro troque toda senha e chave envolvida, no painel de cada fornecedor. Depois tire o arquivo do ar ou leve a chave para o seu servidor, como a Correção: do achado descreve. Rode a varredura de novo: o achado passa para Corrigido desde a varredura anterior. Só tirar o arquivo não basta, porque alguém pode já ter baixado.

Está no Free?

Sim. O Attack Surface está em todos os planos, Free incluído, com a varredura diária. Veja Planos.

Problemas comuns

O registro TXT não é encontrado

Conferir agora diz “Não encontrado ainda. Registros novos podem levar alguns minutos para aparecer.” Espere alguns minutos e clique de novo. Se continuar:

• Muitos painéis de DNS acrescentam o seu domínio ao nome sozinhos. Para loja.exemplo.com.br na zona exemplo.com.br, digite _qlyne.loja como nome, senão o registro vai parar em _qlyne.loja.exemplo.com.br.exemplo.com.br.
• Copie o valor exato, sem espaço nem aspas a mais.
• Se você trocou o domínio, o valor também mudou. Publique o novo.
• Num terminal, dig +short TXT _qlyne.loja.exemplo.com.br deve mostrar o valor. Quando mostrar, Conferir agora encontra.

Um achado parece errado

Leia a evidência primeiro: ela mostra o que o scanner recebeu, como o endereço, o status ou o cabeçalho. Algumas causas comuns:

• Um subdomínio antigo ainda no seu DNS ou nos registros de certificados. Apague o registro de DNS se não usa mais.
• Um cabeçalho que o seu servidor envia só em algumas páginas. O scanner lê a página inicial.
• Outro firewall na frente do site que bloqueia o scanner. O relatório diz então que a página inicial não pôde ser conferida.

Arquivos só viram achado quando o conteúdo tem cara do arquivo, então um site que responde todo endereço com a página inicial não gera achado. Depois de corrigir, clique em Varrer agora e confira Corrigido desde a varredura anterior. Se a evidência não bate com o seu site, escreva para contato@qlyne.com com o domínio e o código do achado.

A varredura fica em “Varrendo”

Uma varredura costuma terminar em menos de um minuto e para depois de 5 minutos, no máximo. Deixe a página aberta: ela se atualiza sozinha. Se terminar com “A última varredura não terminou”, clique em Varrer agora de novo em alguns minutos.

Se ainda disser “Varrendo” depois de mais de 5 minutos, a varredura se perdeu do nosso lado (o processo parou no meio). Não precisa fazer nada: em até 15 minutos do início, o Qlyne a marca como falha sozinho, com a mensagem “Timed out”, Varrer agora volta e a varredura diária inclui o site de novo. Aí clique em Varrer agora. Só se o botão continuar desligado uma hora depois, escreva para contato@qlyne.com com o domínio.