Question 1

O que é o Vergil?

Accepted Answer

O Vergil é um SaaS brasileiro de auditoria de segurança contínua focado em apps modernos — especialmente "vibe-coded" (gerados via Lovable, v0, Bolt, Cursor, Replit Agent). Combinamos três scanners maduros (Nuclei pra CVEs, OWASP ZAP pra análise dinâmica e Semgrep pra análise estática) com uma camada de IA que elimina falso-positivo e gera relatório em PT-BR pronto pra anexar num data room ou usar como evidência de compliance LGPD. O scan grátis sai em 60 segundos e cobre os achados mais comuns (headers ausentes, caminhos expostos, secrets vazados); planos pagos adicionam Nuclei, ZAP e o validador IA.

Question 2

Por que focar em apps vibe-coded?

Accepted Answer

Ferramentas de IA generativa (Lovable, v0, Bolt, Cursor, Replit) produzem código funcional muito rápido, mas costumam ignorar três coisas: headers de segurança (CSP, HSTS, X-Frame-Options), secrets que ficam no bundle do client e caminhos administrativos expostos sem autenticação. Treinamos o scan padrão do Vergil em centenas desses apps gerados por IA, então o detector é calibrado pros padrões que efetivamente aparecem em produção — não é um scanner genérico apontando pro seu app.

Question 3

Qual a diferença pra um pentest tradicional?

Accepted Answer

Pentest manual feito por consultoria custa R$ 15 mil a R$ 50 mil e demora 3 a 8 semanas pra entregar o relatório. O Vergil é automatizado, roda em minutos, custa a partir de R$ 19,90/mês e cobre cerca de 80% dos achados que importam pra MVPs e produtos pré-due-diligence. Não substitui pentest manual pra produtos críticos (fintech regulada, healthtech com prontuário), mas resolve o gap de "quero saber se meu MVP tem vulnerabilidade óbvia antes de mostrar pro investidor".

Question 4

Vergil vs Snyk: qual a diferença?

Accepted Answer

Snyk é excelente em SCA (análise de dependências) e SAST puro, com foco em equipes maduras e pipelines CI/CD complexos. O Vergil é DAST + SAST + headers + secrets num único produto, com triagem por IA pra entregar 3 a 10 findings reais (não 200 com 90% de falso-positivo) e relatório em PT-BR. Se você é solo founder ou time pequeno no Brasil e quer simplicidade + LGPD compliance, somos uma alternativa direta. Se você precisa de governança enterprise e integração SBOM, Snyk faz mais sentido.

Question 5

Vergil vs OpenVAS / Nessus: qual a diferença?

Accepted Answer

OpenVAS e Nessus são scanners de infraestrutura (portas, serviços, CVEs de SO) — ferramentas pesadas pensadas pra equipes de pentest. O Vergil escaneia camada de aplicação web: headers, paths, secrets, OWASP Top 10. Não competimos: você pode rodar OpenVAS no servidor e o Vergil no app web no mesmo dia. Diferença prática: instalar OpenVAS leva uma tarde, rodar é hostil pra quem não é especialista; rodar o Vergil leva 60 segundos e o relatório é em português.

Question 6

Como começo?

Accepted Answer

Crie conta grátis com Google ou e-mail (sem cartão), cole a URL do seu app, prove a propriedade via DNS TXT, arquivo .well-known ou OAuth do GitHub e clique em "Escanear agora". Em 60 segundos você vê os 3 achados mais relevantes do plano grátis, com fix sugerido em Markdown. Sem cobrança, sem trial, sem ligação comercial.

Question 7

Preciso instalar algo?

Accepted Answer

Não. Tudo roda em sandbox isolado nos nossos servidores (microVM por scan, isolado por usuário). Você só precisa do navegador. Pra integração GitHub você instala o app do Vergil na sua organização — leva 30 segundos e pede apenas leitura de código.

Question 8

Posso escanear repositório GitHub?

Accepted Answer

Sim — nos planos Indie e Pro, conecte o GitHub via OAuth e rodamos Semgrep no código fonte além do scan dinâmico via URL. O scan estático cobre injeção de SQL, XSS, secrets commitados, configurações inseguras de framework e padrões inseguros típicos de código gerado por IA.

Question 9

Posso pausar ou cancelar um scan em andamento?

Accepted Answer

Sim. Na página do scan, clique em "Abortar". O sandbox é terminado em até 5 segundos e nenhum custo de scan é contabilizado contra sua quota mensal. Você pode rodar um novo scan imediatamente depois sem penalidade.

Question 10

Posso escanear meu app sem autorização do dono?

Accepted Answer

Não. O Vergil tem três gatekeepers no caminho: (1) verificação de propriedade obrigatória via DNS TXT, .well-known ou OAuth antes do primeiro scan; (2) o sandbox bloqueia requisições contra alvos não verificados na sua conta; (3) os Termos de Uso obrigam você a declarar que tem autorização. Tentar escanear app de terceiros é violação dos Termos e te expõe a responsabilidade civil + criminal sob o Marco Civil da Internet e o Código Penal (Art. 154-A).

Question 11

Posso integrar o Vergil ao meu CI/CD?

Accepted Answer

Em breve. A v1 expõe a API de scan via webhook autenticado, então você consegue disparar scan a cada deploy via GitHub Actions, GitLab CI ou Vercel deploy hook. O plano Pro inclui exemplos prontos. A action oficial do GitHub Marketplace está no roadmap pra Q3/2026.

Question 12

O plano grátis tem prazo?

Accepted Answer

Não. O Free é pra sempre: 1 alvo, 1 scan por mês, top 3 vulnerabilidades reveladas, relatório com marca d'água do Vergil. Não pedimos cartão pra criar conta — você só paga quando decide upgrade.

Question 13

Posso trocar de plano a qualquer momento?

Accepted Answer

Sim. Upgrade é imediato (cobrança proporcional via Stripe, sem fidelidade nem multa). Downgrade entra em vigor no próximo ciclo de cobrança. Cancelamento total também é imediato e sem perguntas: clique em "Cancelar assinatura" no portal Stripe e pronto.

Question 14

Como funciona o tier Compliance?

Accepted Answer

É uma cobrança única de R$ 4.997 pra uma auditoria completa entregue em até 10 dias úteis: relatório SOC2/LGPD-ready, todos os findings com PoC validado por especialista virtual, plano de remediação assinado e workshop de 2h com o time técnico. Ideal pra rodadas de captação Seed/Série A e due diligence de M&A. Inclui 3 meses do plano Pro depois pra manter o monitoramento.

Question 15

Aceitam Pix ou só cartão?

Accepted Answer

Cartão de crédito via Stripe nos planos mensais (Hobby, Indie, Pro). Pix tá disponível pra Compliance (cobrança única) e via boleto para PJ a partir do plano Pro mediante solicitação. Nota fiscal eletrônica é emitida automaticamente pra todos os planos pagos.

Question 16

Existe garantia de devolução?

Accepted Answer

Sim. 30 dias de garantia em qualquer plano pago: se o Vergil não encontrar pelo menos uma vulnerabilidade acionável no seu app no primeiro scan completo, devolvemos 100% do valor sem perguntas. Basta mandar e-mail pra suporte@vergil.com.br dentro da janela de 30 dias.

Question 17

Por que cobrar em Reais?

Accepted Answer

Porque o público alvo é o founder BR. Cobrar em USD obriga o cliente a comprar dólar, lidar com IOF, conversão variável no fim do mês — fricção que não agrega. Stripe BR processa em BRL com nota fiscal automática, débito direto no cartão nacional.

Question 18

Vocês escaneiam apps de terceiros?

Accepted Answer

Não. Só escaneamos alvos que você comprovadamente controla via DNS TXT, arquivo .well-known ou OAuth do GitHub. Qualquer tentativa contra alvo não verificado é bloqueada pelo sandbox antes da primeira requisição sair. Os Termos de Uso são explícitos: tentar escanear app de terceiros é violação contratual e cancelamento imediato da conta.

Question 19

Os meus dados ficam confidenciais?

Accepted Answer

Sim. Findings são isolados por linha via Row-Level Security no Postgres (Supabase), criptografados em repouso (AES-256) e em trânsito (TLS 1.3). Apenas você acessa seus relatórios — nem o nosso time vê findings de cliente em produção sem autorização explícita por escrito (suporte). Auditoria de acesso interna é logada.

Question 20

O que vocês compartilham com a OpenAI?

Accepted Answer

Apenas evidências sanitizadas (sem PII, sem secrets reais — só hashes e padrões) pra triagem e validação do finding. Operamos sob política zero-retention da OpenAI (DPA assinado), então nada é usado pra treino ou armazenado fora do contexto da chamada. URLs, payloads e identificadores únicos são redatados antes de subir.

Question 21

O scan pode derrubar meu app?

Accepted Answer

Rate limit padrão é 5 requisições por segundo, configurável até 1 rps. Você define janela de manutenção (ex.: 02h-05h da madrugada). Em 12 meses de testes internos não tivemos uma única ocorrência de degradação em produção. Se mesmo assim quiser ainda mais cautela, ative o modo "leitura passiva" — sem nenhum payload ativo, só análise de respostas.

Question 22

Vocês são compatíveis com a LGPD?

Accepted Answer

Sim. Atuamos como Operador de Dados (Art. 5º, VII da Lei 13.709/2018), com contrato de tratamento (DPA) disponível no painel pra download e assinatura digital. O relatório técnico inclui apêndice de impacto LGPD por finding, mapeando cada vulnerabilidade pro artigo aplicável (Art. 6º princípios, Art. 9º consentimento, Art. 46 segurança, Art. 48 incidentes). Temos DPO designado: dpo@vergil.com.br.

Question 23

Sou Controlador ou Operador dos dados na LGPD?

Accepted Answer

Você é o Controlador (Art. 5º, VI): você decide quais dados coletar do seu usuário final e por quê. O Vergil é o Operador (Art. 5º, VII): tratamos dados em seu nome, somente pelas finalidades contratadas (auditoria de segurança do app). A relação é regida pelo nosso DPA. Se você está em compliance, basta listar o Vergil como sub-operador no seu próprio RIPD.

Question 24

O Vergil é DPA-ready?

Accepted Answer

Sim. Geramos automaticamente o contrato de tratamento de dados pessoais (Data Processing Agreement) com sua razão social, CNPJ e finalidade declarada — você baixa do painel e assina via assinatura digital. O contrato cobre todas as obrigações do Art. 39 da LGPD (segurança técnica, sub-operadores, notificação de incidente, devolução/exclusão ao término).

Question 25

O que acontece se o Vergil tiver um vazamento de dados?

Accepted Answer

Notificamos cada cliente afetado em até 24 horas (mais rigoroso que o "prazo razoável" do Art. 48 da LGPD) por e-mail e via banner no painel. Em paralelo, notificamos a ANPD no prazo regulatório. O log de incidentes fica público em status.vergil.com.br com timeline de resposta. Não houve incidentes até a data desta FAQ.

Question 26

Vocês fazem scan autenticado (com login)?

Accepted Answer

Sim, nos planos Indie e Pro. Você cadastra credenciais de teste (usuário e senha) num cofre encriptado por chave do cliente, e o ZAP loga no app antes de varrer áreas autenticadas. As credenciais nunca aparecem em log, nunca são exfiltradas pra triagem da IA, e são apagadas em até 60 dias após o último scan.

Question 27

Como falo com vocês?

Accepted Answer

Plano Free: e-mail suporte@vergil.com.br (resposta em até 48h úteis). Hobby: e-mail prioritário (24h úteis). Indie: chat in-app (4h úteis). Pro: Slack Connect dedicado (1h útil). Compliance: WhatsApp direto com o fundador. Não terceirizamos suporte — toda resposta vem de alguém do time técnico.

Question 28

Vocês oferecem onboarding?

Accepted Answer

Indie tem video-tour de 10 minutos guiando primeiro scan e leitura de relatório. Pro inclui call de onboarding de 30 minutos pra configurar alvos, integrar GitHub e alertas. Compliance inclui workshop de 2h com seu time técnico cobrindo interpretação dos findings, plano de remediação e como apresentar pra investidor.

Question 29

Existe SLA de uptime?

Accepted Answer

Sim. Plataforma: 99.5% (Indie) e 99.9% (Pro). Crédito automático em caso de descumprimento (proporcional ao downtime, devolvido como crédito no próximo ciclo). Página de status pública em status.vergil.com.br com histórico de 12 meses, mantida por Better Stack.

Question 30

Vocês têm comunidade?

Accepted Answer

Sim. Discord aberto em discord.vergil.com.br com canais de discussão técnica, anúncios de release, troca de fix entre founders e canal direto com nosso time. Plano Free também participa. Sem spam de venda — Discord é técnico.

Perguntas frequentes

Sobre o Vergil

Como usar

Cobrança e planos

Segurança e LGPD

Suporte

Fala com a gente em suporte@vergil.com.br