Authorship
Carol
offensive security · writes what we see in the audits
26 posts
A banner with no reject option: what the LGPD audit flags and how to fix it
The LGPD layer of the Sentinela audit looks at your site as an anonymous visitor and points out what's wrong with consent. The six possible findings, what each one means and how to fix each one.
Cookie banners and Brazil's LGPD: what the law and the ANPD require from your site
The cookie banner is the part of Brazil's data protection law that any visitor — and any auditor — can check in seconds. What the law and the ANPD guide ask for, the mistakes we see most in audits, and a checklist to check your site today.
Google Consent Mode v2: what it is, why it matters and how to set it up
Consent Mode v2 is how your cookie banner talks to Google's tags. Without it, either the site tracks people who rejected, or Google Ads and GA4 lose those people's conversions. What it is, how it works and what it doesn't do.
Best cookie consent platforms in 2026 (an honest comparison)
We compared four cookie consent platforms — Cookiebot, OneTrust, CookieYes and Cokei — on what matters for a site serving Brazil: LGPD, script blocking, Consent Mode, currency and who each one is for. Including where ours isn't the best choice.
Do push ao alerta em minutos: fechando a janela do segredo commitado
A varredura semanal acha o segredo — sete dias depois. Como funciona uma lane curta que sai do webhook de push e alerta em minutos, o que ela deliberadamente não faz, e por que uma nota de segurança calculada com uma ferramenta só seria uma nota mentirosa.
Sua chave da OpenAI está no bundle: o erro nº 1 de quem publica com Lovable, Bolt e v0
Prefixo VITE_ e NEXT_PUBLIC_ não é "variável de ambiente" — é texto compilado dentro do JavaScript que qualquer visitante baixa. Veja quais chaves podem ser públicas, quais nunca podem, e como checar o seu app em dois minutos.
git rm não apaga: por que a chave que você removeu continua no repositório
Apagar a linha e commitar por cima não remove nada — o commit anterior continua lá, e é ele que a varredura acha. Entenda por que reescrever o histórico raramente resolve, por que rotacionar é a única correção de verdade, e o que uma varredura honesta precisa te dizer sobre o que ela olhou.
wp2shell: um request, RCE no WordPress — e o que fazer se você demorou pra atualizar
O wp2shell derruba a desculpa do "meu site é simples, não tem plugin exótico". É o core puro, sem autenticação, em uma requisição HTTP. Veja a linha do tempo, como checar se o seu foi pego e por que atualizar não encerra o assunto.
Do patch ao exploit em massa: 24 horas. Sua auditoria mensal não cabe nessa janela.
O wp2shell saiu do patch para exploração em massa em pouco mais de um dia. Se a sua varredura de segurança roda uma vez por mês, ela pode chegar 29 dias depois do atacante. Veja por que a janela encolheu e o que substitui o modelo de "varredura periódica".
Você cuida de 40 sites WordPress. O wp2shell custou quantas horas do seu fim de semana?
Quando um exploit público de WordPress aparece numa sexta-feira à noite, a agência com inventário responde em minutos e a agência sem inventário perde o fim de semana. Veja a conta em horas, o roteiro de triagem e como transformar isso em serviço cobrável.
Melhores ferramentas de monitoramento de site em 2026 (comparativo honesto)
Comparamos as principais ferramentas de monitoramento de site — UptimeRobot, Better Stack, Pingdom e Sentinela — por preço, recursos, idioma e caso de uso. Sem "somos os melhores": qual serve pra cada situação.
Receita recorrente para agências: como cobrar por monitoramento e segurança
A maior alavanca de uma agência não é vender mais projetos — é criar receita recorrente. Veja como transformar monitoramento e segurança em um serviço mensal white-label, quanto cobrar e qual a margem real.
Site lento? O que são Core Web Vitals e como melhorar de verdade
Site lento derruba conversão e ranqueamento. Entenda os Core Web Vitals (LCP, INP, CLS), como o Google mede a velocidade do seu site e o passo a passo pra melhorar — sem achismo, com PageSpeed e Lighthouse.
How we compute risk in $/year (ALE) — formula, table and worked example
The A–F grade answers "how is my posture?". ALE answers "how much does this cost per year?". We show the formula, the calibrated table and a worked numeric example — with the inputs you need to fill in to switch it on.
ASM (Attack Surface Management): why you should look at your site like an attacker
ASM is the discipline that maps everything your company exposes to the internet — known or forgotten — and measures the risk before an attacker does. What it is, what it isn't, and where to start.
Annual pentest vs continuous auditing: which one protects you more?
A pentest is a snapshot. Continuous auditing is a video feed. Here's when each makes sense, what they cost, and why most companies need both — in different proportions.
Secure WordPress in 2026: a checklist of what an attacker sees
Most "secure WordPress" guides end up recommending the same firewall plugin. This one looks at what an attacker actually sees — before they do.
Subdomain takeover: the forgotten subdomain that becomes a front door
The promo.yourcompany.com you turned off in 2022 still points to Heroku. Today, anyone can grab it back — and run phishing under your domain.
How much does one hour of downtime really cost (with a calculator)
Downtime isn't just "some lost sales". The real bill includes wasted CAC, SEO penalty, reputation, and support load. Here's how to compute it in dollars.
Expired SSL certificate: what happens and how to avoid it
An expired SSL certificate takes your site down without warning. Why it happens, what the user sees, and why you only find out when someone calls to complain.
Why LGPD is not just a privacy page
Most sites treat LGPD as a footer link. Complying with the law involves a consent banner, a legal basis per purpose, the DPO contact and tracking that respects opt-in.
How to tell if your site was hacked (and what to do before Google punishes you)
Most hacked sites only find out when Google flags them as unsafe and traffic collapses. The signs show up earlier — if you know where to look.
SPF, DKIM and DMARC: why your emails land in spam
Three acronyms that decide whether your email reaches the inbox or spam. What each one does, how to configure it, and why most companies still get it wrong.
Is free site monitoring worth it? An honest comparison
UptimeRobot, Better Stack, StatusCake, Pingdom — where the free tier is enough and where it costs you more than it saves.
5 HTTP security headers your site probably doesn't have
Security headers are the cheapest and most underused defense on the web. Five you can turn on today without touching application code.
High uptime is not the same as availability
Your monitoring can report 99.99% and your customer can be furious. The difference is in what you monitor, how often, and what you consider "up".