Verificação completa do site
Uma auditoria repetível dos sites e aplicativos de uma empresa: segurança, qualidade do site, preços e pagamentos, termos, privacidade, acessibilidade e outras leis. Ela encontra problemas, corrige os seguros em uma única alteração revisável e entrega ao proprietário uma mensagem única com tudo o que ele deve fazer pessoalmente.
Esta é uma lista de verificação, não um aconselhamento jurídico. Diga isso no relatório. Um advogado deve revisar os termos, o aviso de privacidade e qualquer coisa marcada como Precisa de um advogado.
Etapa 1: Descobrir o que existe
Antes de verificar qualquer coisa, construa uma imagem do negócio a partir do código, configuração, documentação e quaisquer anotações do projeto que você puder ler. Registre cada resposta com onde a encontrou:
- Todos os sites, subdomínios e aplicativos no escopo, e cada página ou tela (incluindo login, checkout, erro e páginas 404).
- Quem é o negócio: nome, forma jurídica, país, detalhes de contato, conforme mostrado no site.
- Todos os serviços externos que o produto utiliza: hospedagem e CDN, banco de dados e armazenamento de arquivos, envio e recebimento de e-mail, login ou identidade, provedor de pagamento, formulários de contato, análises, rastreamento de erros, fontes, mapas, IA ou outras APIs. Procure no código, arquivos de configuração, nomes de variáveis de ambiente, dicas de DNS, cabeçalhos CSP e arquivos de pacotes.
- Quais dados pessoais são coletados, onde são armazenados e por quanto tempo.
- O que é vendido, a que preço, em qual moeda, como funciona a cobrança (avulso, assinatura, renovação automática, teste gratuito) e onde os preços são mostrados.
- Para quais países a empresa vende ou faz marketing (moeda, idioma, configurações fiscais, métodos de pagamento, redação no site).
- Páginas legais existentes (termos, privacidade, cookies, acessibilidade, reembolsos) e regras de segurança ou acesso existentes (README, SECURITY.md, guia de contribuição, arquivo de instruções do assistente de IA, matriz de funções).
Qualquer coisa que você não conseguir encontrar vai para a lista de perguntas no final. Não adivinhe.
Como trabalhar
- Trabalhe com as ferramentas que você tem. Se você não puder ler o código, executar comandos, abrir um navegador, navegar na web ou editar arquivos, diga quais verificações isso limita no início do relatório. Verifique o que puder a partir do que o proprietário colar ou enviar, e dê a eles etapas exatas para coletar o resto. Marque qualquer coisa que você não conseguiu verificar como Não verificado com o motivo, nunca como Aprovado.
- Verifique cada afirmação. Cada resultado precisa de evidência: um
arquivo:linha, um comando e sua saída, uma captura de tela ou uma URL de origem com a data em que você verificou. Nunca escreva "em conformidade" sem evidências. - Verifique se a lei está atualizada. Leis, limites e decisões judiciais mudam. Para cada lei na lista de verificação, confirme em sites oficiais do governo ou reguladores que ela ainda está em vigor e o que exige agora. Registre a fonte e a data. Se a lista de verificação estiver desatualizada, siga a lei atual e observe a diferença.
- Teste em execução. Execute o site e os aplicativos localmente ou em uma prévia e teste-os em um navegador real com 320 px e 1280 px de largura. Use apenas dados de amostra falsos. Nunca faça pagamentos ao vivo, altere configurações de produção ou toque em segredos reais; use o modo de teste do provedor de pagamento ou um simulador.
- Corrija o que é seguro em uma única alteração revisável (um rascunho de pull request ou uma lista de edições exatas), seguindo as convenções do projeto. Não altere o significado legal dos termos ou um aviso de privacidade pessoalmente: redija o texto e liste-o para o proprietário e seu advogado.
- Rotule quando cada regra se aplica: Aplica-se agora (país de origem e qualquer coisa já ativa), Ao vender nos EUA, Ao vender na Austrália, Ao vender na África do Sul, Ao vender na UE ou Reino Unido, ou Apenas acima de um limite de tamanho (diga qual). As regras de um país se aplicam assim que a empresa comercializa, aceita pagamentos ou armazena dados de pessoas lá. Se o país de origem não for um destes, verifique os equivalentes desse país (privacidade, proteção ao consumidor, divulgações de comércio eletrônico, acessibilidade, spam, impostos).
Etapa 2: Trabalhe através da lista de verificação
Leia references/checklist.md e trabalhe em cada seção:
- Segurança (controle de acesso, segredos, entrada e saída, cabeçalhos, login, endpoints públicos, pagamentos, uploads, e-mail, dependências, dados armazenados, contas de administrador, plano de violação)
- Qualidade do site (rodapés, links, metadados, cookies, dispositivos e teclado, formulários, detalhes do negócio, mensagens de erro)
- Preços e pagamentos (o que deve ser mostrado antes de pagar, cancelamento, regras do país)
- Termos e condições
- Privacidade (compare o aviso com o que o código realmente faz)
- Acessibilidade (WCAG 2.2 AA, página de declaração)
- Outras leis a confirmar
Não pule uma seção porque foi verificada antes: as coisas mudam.
Etapa 3: Entregar
- Um arquivo de relatório datado com uma tabela por seção: item, rótulo, resultado (Aprovado, Corrigido, Precisa do proprietário, Precisa de um advogado, Não aplicável ainda, Não verificado), evidência e a correção ou próximo passo exato. Inclua a fonte e a data para cada lei que você confirmou.
- As correções seguras como uma única alteração revisável.
- Texto proposto para quaisquer alterações de termos, privacidade ou acessibilidade, mantido separado para o proprietário e seu advogado aprovarem.
- Uma mensagem para o proprietário que:
- comece com cada ação que eles devem tomar pessoalmente, em uma lista (adicionar detalhes de negócios ausentes, registrar-se em um órgão regulador, ativar 2FA, adicionar registros DNS, confirmar preços, agendar uma revisão de advogado);
- depois dê as perguntas que você não conseguiu responder a partir do código, cada uma respondível em uma palavra ou uma linha curta, com seu melhor palpite quando você tiver um. Faça pelo menos estas perguntas quando a resposta não foi encontrada: nome legal completo do negócio e forma jurídica; número de registro (ou nenhum); endereço físico e postal; e-mail e telefone de contato para clientes, privacidade e acessibilidade; países para os quais vendem agora e planejam; faixa aproximada de faturamento anual e número de clientes (para limites de tamanho); registros de IVA, GST ou imposto sobre vendas; provedor de pagamento e se aceita cartões estrangeiros; preços, períodos de cobrança, testes e política de reembolso; serviços em uso que não estão visíveis no código; se crianças podem usar o produto; se dados sensíveis de saúde, financeiros ou outros são tratados; quem lida com incidentes de segurança; se 2FA está ativado para cada conta de administrador;
- termine com um breve resumo do que foi corrigido e do que ainda está em aberto, e diga claramente que o relatório não é aconselhamento jurídico.
- Quando o proprietário responder, atualize o relatório, os rascunhos legais e as correções, e salve os fatos confirmados onde quer que o projeto mantenha anotações, para que a próxima verificação comece a partir deles.
Usando sem uma ferramenta com suporte a skills
Qualquer assistente de IA pode executar esta verificação. Cole este arquivo, depois o arquivo da lista de verificação, no chat e peça para começar com a Etapa 1.