Guia prático de espadas para internet: o que é e como usar sem perder horas
O que chamamos aqui de espadas para internet é um conjunto de ferramentas open source voltado para segurança web — escaneamento de vulnerabilidades, análise de dependências, testes de penetração automatizados e relatórios técnicos. O nome não é oficial; é como a comunidade brasileira de pentest passou a chamar o kit porque ele junta num só pacote o que antes exigia três ferramentas diferentes rodando em paralelo. Não é uma bala de prata. Se você acha que vai instalar e resolver todos os problemas de segurança do site, está enganado. O que ele faz bem é dar uma primeira triagem rápida, identificar o que está mais exposto e gerar um ponto de partida para o trabalho manual. O resto depende de quem sabe ler os resultados.
Como começar a usar espadas para internet no dia a dia
A instalação básica acontece pelo terminal. Você precisa de Python 3.10 ou superior, Node.js 18+, e Docker rodando para os serviços auxiliares. O repositório oficial costuma ficar no GitHub, sob o nome do projeto. Se quiser o link direto, busca pelo nome no repositório e baixa a última release estável. Nada de versão alfa em produção — isso é conselho quem já viu build quebrado na sexta à noite. Depois de clonar, roda o instalador:
pip install -r requirements.txt npm install --prefix ./frontend
docker compose up -d Isso leva cerca de 5 a 10 minutos em uma máquina razoável. Se o pip travar numa dependência criptográfica, é provável que você precise instalar libs do sistema primeiro. No Ubuntu, roda isso antes:
sudo apt-get install libssl-dev libffi-dev python3-dev build-essential Depois vem a configuração inicial. O arquivo config.yaml na raiz é onde você define os alvos, os níveis de scan, os cronogramas e os canais de notificação. Configurar isso errado gera falso positivo em cascata, e aí você passa duas horas apagando incêndio que não existia.
Minha recomendação prática: comece com um alvo pequeno, um site interno seu, e mode como light. Quando ver os relatórios funcionando, aí sobe para normal. Pule para aggressive só se souber o que está fazendo e tiver janelas de manutenção reservadas.
O que espadas para internet faz de fato
O motor principal roda três camadas. A primeira é a varredura de superfície — descobre rotas expostas, portas abertas, cabeçalhos HTTP, versões de frameworks. A segunda é a análise de dependências — cruza com bases de dados de CVEs conhecidos e avisa sobre pacotes desatualizados. A terceira é a injeção controlada de testes — SQL injection, XSS, CSRF, todos marcados como safe-mode, ou seja, leitura e enumeração, nada que quebre produção. O resultado sai num painel web com cores que variam do verde ao vermelho. Lembre-se: cor não é certeza. Amarelo significa "precisa ver manual", não "está resolvido". Isso é o erro mais comum de quem começa. Eles veem amarelo e acham que é aviso tranquilo. Não é. É sinal de que o scanner encontrou algo que ele não conseguiu classificar automaticamente, e daí precisa de olho humano.
Um detalhe que poucos mencionam: o engine guarda histórico de cada scan. Isso é útil porque permite comparar o estado atual com o anterior e ver regressões. Mas o banco de dados histórico cresce rápido. Se você deixar rodando sem policy de retenção, em dois meses vai ocupar 4 GB à toa. Configure retention_days: 30 no config e esqueça dor de cabeça.
👉 Clique no botão abaixo para saber mais sobre o assunto!
O problema que ninguém conta sobre espadas para internet
Existe um edge case chato que todo mundo leva susto quando aparece pela primeira vez. É quando o scanner tenta autenticar em formulários que usam CSRF token dinâmico. O resultado é falso negativo, porque o teste não consegue repetir a requisição corretamente e o motor desiste. Eu passei uma tarde inteira acreditando que um app estava seguro até perceber que o token de CSRF era renovado a cada request. A solução não é desligar o módulo — é habilitar o modo session-aware, que salva o cookie e reutiliza o token dentro da mesma sessão. No config, vira algo assim:
modules: csrf: enabled: true session_aware: true Com isso, o scanner mantém a sessão viva e os testes flutuam normalmente. Sem essa configuração, você tem relatório bonito mas cheio de buraco cego.
Limitações reais — e onde isso importa
Vou ser direto porque perder tempo com otimismo artificial não ajuda ninguém. Espadas para internet tem limites claros. Primeiro: ele não testa lógica de negócio. Se o seu sistema permite que um usuário comum acesse dados de outro por mudança de ID na URL, o scanner não vai achar, a menos que você configure autenticação de múltiplos perfis e mapeie os cenários manualmente. Segundo: ferramentas automatizadas sempre vão gerar ruído. Falso positivo e falso negativo são custos fixos, não exceções. Terceiro: o scan agressivo pode derrubar serviços sensíveis. Já vi load balancer entrar em modo de falha porque alguém rodou aggressive em horário comercial sem avisar a equipe de infraestrutura. Se o seu cenário é compliance rigoroso — LGPD, SOC2, PCI-DSS — espadas para internet serve como complemento, não como substituto de auditoria humana. Ele gera evidência, mas a interpretação e o signature do relatório final precisam de alguém que entenda o contexto do negócio.
Para quem quer algo mais leve e focado apenas em dependências, recomendo manter o Trivy ou o Grype rodando em paralelo. Eles são melhores nessa fatia específica. O espadas entra quando você precisa da visão completa: superfície + dependências + testes estruturais.
Dicas que realmente funcionam no uso diário
Aqui vão práticas que aprendi na marra, e que cortam muito tempo de ajustes: Primeiro, use dry-run antes de qualquer scan em produção. O modo dry-run simula todas as etapas sem enviar requisições reais. Leva o dobro do tempo, mas evita surpresas. Segundo, escreva whitelists de endpoints. Se sua API tem rotas conhecidas que geram falso positivo recorrente, coloque-as na lista de exceção. Terceiro, centralize os relatórios. O espadas exporta para JSON, CSV e HTML. Jogue tudo no mesmo repositório ou num serviço de storage, e crie um script simples que agrega os resultados semanais. Quarto, capriche nos alertas. Integração com Slack ou Telegram economiza horas de checagem manual. Sexto, nunca ignore o log de performance. Se o scan demorar mais que o dobro do tempo padrão, algo está travado — provavelmente um timeout mal configurado ou um alvo que não responde como esperado.
Um detalhe técnico importante: o tempo médio de um scan completo em ambiente controlado fica entre 20 e 45 minutos para aplicações de tamanho médio. Aplicações grandes, com muitos endpoints e sessões, podem levar até 2 horas. Planeje a janela accordingly.
Por que espadas para internet ainda vale a pena despite os defeitos
Porque ele centraliza o que antes exigia três ferramentas distintas e quatro scripts manuais. Com a configuração certa, você reduz o tempo de triagem inicial de cerca de 90 minutos para algo entre 15 e 20, dependendo da complexidade do alvo. O ganho real não está na automação perfeita — está na consistência. Relatório padronizado, histórico comparável, e integração com CI/CD quando bem configurado. A parte chata é que configuração ruim anula tudo. Eu já vi projeto inteiro ser descartado porque alguém configurou scan agressivo em ambiente de staging com dados reais de clientes. Não repita esse erro. Separe ambientes, use dados sintéticos para testes, e valide configurações antes de homologar.
Se você está começando agora, siga esta ordem: instale no modo light, rode dry-run, analise os primeiros relatórios manualmente, ajuste whitelists, depois suba para normal. Só após duas semanas de uso consistente é que considere aggressive ou integrações avançadas. A curva é simples, mas a pressa custa caro em segurança — literalmente. O link para baixar fica no repositório oficial do projeto. Busque pela release mais recente, verifique as assinaturas GPG, e leia o changelog antes de atualizar. Mudanças de versão maior costumam alterar comportamento de módulos inteiros, e quem pula sem ler leva susto.
No final das contas, espadas para internet é uma ferramenta séria para quem leva segurança web a sério. Ela não resolve tudo, não substitui analista, e não perdoa configuração apressada. Mas quando bem usada, economiza tempo real e eleva o patamar mínimo de proteção que qualquer equipe deve manter. O resto é disciplina.
