Preciso reconfigurar meus pipelines de CI/CD?

Não. A atualização é transparente e se aplica automaticamente nos próximos scans de cada repositório.

Quando vou ver os novos resultados?

Assim que o próximo scan do repositório for executado. Como a liberação é gradual, repositórios diferentes podem ser atualizados em momentos distintos.

Meus achados anteriores serão perdidos?

Não. O histórico é preservado. Você pode notar variações no volume de achados por dois motivos: a cobertura ampliada (novos achados legítimos) e a supressão aprimorada de falsos positivos (menos ruído).

O scanner cobre linguagens legadas como COBOL, ABAP e AdvPL/TLPP?

Sim. Sistemas legados e ERPs estão entre as maiores lacunas de AppSec no mercado brasileiro, e essa cobertura é uma das principais entregas desta versão.

A análise de licenças substitui uma revisão jurídica?

Não. Ela sinaliza licenças restritivas ou proprietárias para que o time jurídico avalie com contexto — funciona como radar, não como parecer.

Novo Scanner de Segurança: SAST, SCA e IaC

Se o seu time já perdeu uma sprint inteira triando alertas que não levavam a lugar nenhum, você sabe qual é o verdadeiro problema da segurança de aplicações: não é falta de achados — é falta de achados confiáveis, no código que você realmente escreve.

É exatamente aí que a nova versão do nosso scanner de segurança de código ataca. Evoluímos as três frentes de análise — SAST, SCA e IaC —, ampliamos drasticamente a cobertura de linguagens e tecnologias e reduzimos o ruído que faz desenvolvedor perder a confiança na ferramenta.

E o melhor: nenhuma ação é necessária da sua parte. As melhorias entram em vigor de forma gradual, conforme os próximos scans de cada repositório forem executados.

O que muda para você, em 30 segundos

SAST: cobertura ampliada para mais de 100 linguagens, incluindo stacks modernas, legado corporativo e contratos inteligentes.
SCA: identificação mais profunda de dependências diretas e transitivas, agora com análise de licenças e alertas para licenças restritivas ou proprietárias.
IaC: detecção ampliada de configurações inseguras em infraestrutura como código, servidores web e dispositivos de rede.
Menos falsos positivos, descrições mais claras, recomendações mais acionáveis e tags de compliance padronizadas.

SAST: análise de código em mais de 100 linguagens

A maioria dos scanners de mercado cobre bem apenas algumas linguagens populares, deixando o resto do seu parque tecnológico no escuro. O problema é que o risco real raramente mora só no repositório mais novo em TypeScript: ele mora naquele sistema em Delphi que ninguém quer tocar, no batch em COBOL que roda o fechamento, no ABAP que sustenta o ERP.

Ampliamos significativamente a cobertura de detecção de vulnerabilidades em código-fonte. Agora o scanner analisa:

Linguagens de aplicação e back-end

JavaScript, TypeScript, Java, JSP, Python, C#/.NET, PHP, Kotlin, Go, Ruby, C++, C, Rust, Scala, Dart, Groovy, Perl, Lua, Elixir, Erlang, Hack, Crystal, Nim, Zig, D, V, Mojo, Roc, Gleam, Julia e Smalltalk.

Mobile e desktop

Swift, Objective-C, Kotlin, Dart, Delphi/Object Pascal, PowerBuilder e FoxPro.

Scripting, automação e shell

PowerShell, Bash/Shell, Batch, AutoIt, AutoHotkey, AppleScript, Tcl, AWK, VBScript, VBA, VB.NET e VB6.

Sistemas legados, mainframe e ERP

COBOL, PL/I, JCL, REXX, MUMPS, RPGLE, IBM i CL, Ada, Fortran, Forth, ColdFusion (CFML), SAP ABAP, AdvPL/TLPP (TOTVS Protheus) e Salesforce Apex.

Essa é uma das coberturas mais relevantes para o mercado brasileiro: ambientes Protheus e ABAP concentram processos críticos de negócio e quase nunca aparecem no escopo de ferramentas de AppSec tradicionais.

Banco de dados e consultas

PL/SQL, T-SQL, SQL, GraphQL, Cypher (Neo4j), Datalog, DAX e Q/KDB+.

Blockchain e contratos inteligentes

Solidity, Vyper, Cairo, Move, Clarity, Plutus e Reach.

Linguagens funcionais

Clojure, ClojureScript, Haskell, F#, OCaml, ReasonML/ReScript, Common Lisp e Prolog.

Dados, estatística e computação científica

R, MATLAB, Octave, SPSS e SAS.

Templates, jogos, hardware e GPU

Twig, Handlebars, Liquid, Fluid, GDScript, SystemVerilog, Verilog, VHDL, Bluespec, CUDA, OpenCL, GLSL e HLSL.

Na prática: um único scanner passa a cobrir o repositório novo, o monolito legado e o contrato inteligente — sem precisar contratar três ferramentas diferentes nem justificar três orçamentos.

SCA: dependências de terceiros e riscos de licenciamento

A maior parte do código que vai para produção não foi escrita pelo seu time. Foi baixada.

Nesta versão, passamos a identificar com mais profundidade as dependências de terceiros — diretas e transitivas — e a licença de cada biblioteca, incluindo alertas para licenças restritivas ou proprietárias.

Por que isso importa:

Risco técnico: vulnerabilidades em dependências transitivas são as mais difíceis de enxergar, porque ninguém as declarou explicitamente. Elas entram de carona.
Risco jurídico e comercial: uma biblioteca com licença copyleft forte dentro de um produto proprietário pode inviabilizar uma venda, travar um due diligence ou obrigar a abertura de código. É o tipo de problema que aparece no pior momento possível — durante uma aquisição ou um contrato enterprise.

Com a análise de licenças integrada ao mesmo scan, jurídico e engenharia passam a olhar para a mesma fonte de verdade.

IaC: pegar a configuração insegura antes do deploy

Uma boa parte dos incidentes de nuvem não nasce de uma falha de código, mas de um bucket público, um security group aberto ou uma policy permissiva demais. Ampliamos a detecção de configurações inseguras em infraestrutura como código e em arquivos de configuração:

IaC e provisionamento: Terraform/HCL, Kubernetes/YAML, Dockerfile, CloudFormation e Bicep.
Políticas e configuração declarativa: Rego/OPA, Jsonnet, Dhall, CUE e Pkl.
Servidores web e proxies: Nginx, Apache, HAProxy, Caddy e Varnish.
Dispositivos de rede e políticas de segurança: Cisco ASA/FTD, SELinux e AppArmor.

O ganho é de tempo e de custo: corrigir uma policy no pull request custa minutos; corrigir depois do incidente custa muito mais.

Menos ruído, mais correção

Cobertura sem precisão só gera backlog. Por isso, esta versão também trouxe melhorias diretas na experiência de quem consome o relatório:

Menos falsos positivos

Implementamos melhorias na detecção e na supressão de falsos positivos. Relatórios mais precisos significam menos tempo de triagem, menos atrito entre segurança e desenvolvimento e — o ponto que mais importa — mais credibilidade para a ferramenta dentro do time de engenharia.

Descrições em linguagem acessível

As descrições de vulnerabilidades ficaram mais detalhadas e escritas para serem entendidas por quem vai corrigir, não apenas por quem é especialista em AppSec.

Recomendações acionáveis

Menos "revise a lógica de autenticação", mais orientação objetiva sobre o que mudar. O desenvolvedor sai do relatório sabendo o próximo passo.

Tags de compliance padronizadas

As tags de compliance ficaram padronizadas e mais abrangentes, cobrindo PCI DSS, OWASP ASVS, NIST, SOC 2, ISO 27001, LGPD e GDPR, entre outros frameworks. Isso encurta o caminho entre o achado técnico e a evidência de auditoria — útil para quem responde a auditor, cliente enterprise ou regulador.

Como ativar as melhorias

Você não precisa fazer nada.

As melhorias entram em vigor de forma gradual e automática, conforme os próximos scans de cada repositório forem executados. Não há migração, reconfiguração de pipeline ou janela de manutenção.

⚠️ Como as melhorias são aplicadas gradualmente à medida que cada repositório passa por um novo scan, o número total de vulnerabilidades pode mudar em relação aos scans anteriores — para mais ou para menos. Isso é esperado: reflete tanto a ampliação das capacidades de detecção e das linguagens suportadas quanto as melhorias contra falsos-positivos. Podem surgir itens novos em códigos e arquivos que antes não eram analisados, assim como itens antes reportados podem deixar de aparecer.