Sobre o scanner

Alguém informou o endereço do seu app em security.zeine.com.br para receber um relatório de segurança. O scan é automático e passivo: lê o que o app já entrega a qualquer visitante.

• Só faz requisições GET, HEAD e OPTIONS. Nunca envia formulário, nunca escreve e nunca tenta login.
• Lê cabeçalhos HTTP, o certificado TLS e os arquivos JavaScript públicos.
• Quando o app usa Supabase ou Firebase, confere se tabelas aceitam leitura anônima pela contagem de registros (HEAD com Prefer: count=exact). Nenhuma linha de dado é baixada e nenhuma chave encontrada é guardada em claro.
• Tem limite de requisições por scan e por host, e para sozinho se o app responder com erro.

Toda requisição sai com este User-Agent:

ZeineScanner/1.0 (+https://security.zeine.com.br/scanner; abuse@zeine.com.br)

E com o header X-Zeine-Scan-Id, que identifica o scan. Se for falar com a gente sobre um acesso, mande esse valor.

E sai somente destes endereços IP:

• 91.99.124.223

Peça o opt-out do seu domínio: depois de confirmar pelo e-mail, o scanner nunca mais analisa o domínio nem os subdomínios dele, e scans pendentes são cancelados. Se preferir, bloqueie o User-Agent ou os IPs acima no seu firewall.

Órgãos públicos (.gov.br, .jus.br, .leg.br, .mil.br) e a raiz das plataformas de hospedagem nunca são analisados.

Abuso ou acesso indevido: abuse@zeine.com.br. Para relatar uma vulnerabilidade na própria Zeine Security, veja a política de divulgação e o security.txt.