O que acontece com os seus dados quando você audita uma página
Esta não é uma página de frases tranquilizadoras. É a descrição do que o nosso sistema realmente faz com o endereço que você cola, escrita a partir do código que faz isso.
Se você está nos avaliando antes de enviar a URL de um cliente, ou precisa de algo para encaminhar a um time de segurança, é esta a página para mandar. Ela responde a uma pergunta: o que exatamente vocês guardam sobre o meu site, por quê, e por quanto tempo?
O que fazemos com a página que você envia
Pedidos que o navegador de um visitante poderia fazer — e nada que um visitante não poderia.
- A amostra grátis lê o que o seu site devolve ao público no endereço enviado: os cabeçalhos da resposta e o HTML. Em volta dessa página ela faz alguns pedidos pequenos que qualquer navegador faria: um com um cabeçalho Origin de teste, para ler a política de acesso entre origens (CORS), e o favicon quando o HTML não declara nenhum.
- A auditoria paga também abre a página num navegador de verdade, como um visitante faria, inclusive como celular, e a carrega mais três vezes num celular simulado para medir o desempenho. Ela lê os arquivos que a própria página carrega, um número limitado de endereços para os quais a própria página aponta (por exemplo o aviso de privacidade, o endereço canônico e os ícones do app), o /robots.txt, os source maps que os scripts publicam, e os registros de DNS e os certificados TLS dos hosts do caminho. Para medir a resposta à interação, ela pode abrir um menu, uma aba ou um acordeão da página.
- A análise é passiva. Não fazemos login, não enviamos formulários, não injetamos payloads, não testamos credenciais, não varremos portas e não rastreamos o site além dos endereços acima. Uma URL, um relatório: links encontrados no código são lidos como dado, nunca seguidos como novas auditorias. Os pedidos dos nossos servidores se identificam no user agent como SiteMeritBot; o navegador se apresenta como um navegador comum, porque o que ele mede é o que um visitante recebe.
- Quando os nossos servidores seguem um redirecionamento, eles resolvem o destino de novo a cada salto, conferindo o endereço IP antes de conectar. Essa conferência impede que o nosso motor seja apontado para uma rede privada — uma proteção para você tanto quanto para nós.
O que guardamos, registro por registro
Os registros abaixo, e um contador. Esta é a lista inteira.
| O que contém | Por quanto tempo guardamos | |
|---|---|---|
| O resultado da auditoria | A URL que você enviou, o idioma do relatório, se é um relatório pago, a versão do motor, a data e hora, e o resultado completo: cada verificação com seu veredito e a pontuação. Relatórios pagos guardam também o que foi observado enquanto a página executava num navegador — achados de acessibilidade, os cookies e domínios de terceiros vistos no carregamento inicial, e os sinais de execução comparados com o nosso catálogo de assinaturas de tecnologia, com a versão do catálogo — e a orientação escrita que foi gerada. | Uma auditoria gratuita nasce com um carimbo de expiração de sete dias. Um relatório pago não tem prazo de expiração. |
| A compra | Gravado só quando um pagamento é concluído: o endereço auditado como foi enviado, quais módulos foram comprados, o valor e a moeda, e a data e hora. Nunca os dados do seu cartão — eles vão para a Stripe e nunca chegam até nós — e não o seu e-mail: ele fica na Stripe, e nós o lemos de lá só para enviar o seu relatório. | Não há prazo de expiração neste registro: ele é o registro contábil da venda. |
| A observação da compra | Gravada só numa auditoria paga, em armazenamento privado: o que os nossos servidores e o navegador observaram na página — cabeçalhos, HTML, os arquivos que ela carregou, capturas de tela e medições de desempenho — e o pacote de achados enviado ao fornecedor de IA para escrever a análise e o guia de correção. | Apagada automaticamente 30 dias depois de gravada. O relatório feito a partir dela continua, como acima. |
| O registro da entrega | Gravado numa auditoria paga enquanto ela é produzida: o endereço auditado, o andamento e o tempo de cada etapa, e o motivo de uma etapa ter falhado, para que uma entrega que trave possa ser retomada ou cancelada — nunca cobrada sem ser entregue. | Nenhum prazo de expiração é definido neste registro: ele é o rastro de como a compra foi entregue. |
| Os eventos de página | Gravado só se você aceitar no banner de cookies: o nome do evento (uma visualização de página, um clique num botão de ação ou num link interno, o início de uma auditoria), a página, o idioma, a versão do conteúdo da página, os parâmetros do evento, uma chave de deduplicação e a data. Sem IP, sem cookie e sem identificador de visitante: este registro pode dizer quantas vezes uma página foi aberta, e nunca quem a abriu. | Nenhum prazo de expiração é definido neste registro. |
| O contador de limite de uso | Uma contagem de requisições por hora, para que uma única origem não esgote o serviço. O seu IP não é armazenado: ele é reduzido a um hash SHA-256 irreversível, que serve de chave do contador. | O contador é carimbado para expirar duas horas depois da janela a que pertence. |
A razão de guardarmos resultados é justamente aquilo que você comprou. Um relatório pago vive em um link permanente, ao qual você pode voltar, recarregar e enviar a um cliente. Apagar o resultado significaria que o entregável não sobrevive ao fechamento da aba — a persistência não é um deslize que estamos confessando, é a funcionalidade.
Dúvidas sobre os seus próprios dados, inclusive remoção, vão para privacy@sitemerit.com, que é a fila destinada exatamente a isso.
O que nunca pedimos a você
Você pode rodar uma auditoria sem criar conta. Não há cadastro, não há senha, não há login e não há perfil seu. Em uma auditoria gratuita, a única coisa que você entrega é o endereço que quer verificar. Um e-mail entra em cena em um único momento: no pagamento, porque o checkout da Stripe o coleta junto com a cobrança.
Quem mais recebe os dados
Não vendemos, não alugamos e não trocamos dados. Cinco empresas recebem parte deles, porque o produto não funciona de outro jeito — e seria desonesto deixá-las de fora desta página.
- Stripe — processa o pagamento. Você digita os dados do cartão no checkout da própria Stripe, não no nosso site. Recebemos a confirmação e o e-mail que você informou a eles; o número do cartão nunca chega até nós.
- OpenAI — recebe dados em um momento. Para a análise escrita e o guia de correção dos relatórios pagos: os achados da sua auditoria, com trechos do que foi observado na página (credenciais encontradas nela são mascaradas antes), são enviados à OpenAI para interpretação assistida por IA, e o texto que volta é guardado com o seu relatório.
- Resend — envia os e-mails da sua compra: o link do seu relatório, ou o aviso de que o pedido foi cancelado. Ela recebe o seu e-mail e a mensagem; o relatório em si fica conosco.
- Google — hospeda os registros. Tudo o que está na tabela acima fica no Google Cloud, num projeto operado por nós: os registros no Firestore, a observação da compra no Cloud Storage. O Google os guarda como nosso fornecedor de armazenamento; não enviamos nada a ele com outra finalidade.
- Vercel — executa o serviço. Toda requisição ao nosso site e à nossa API é atendida pela Vercel, que roda o código descrito nesta página e guarda os logs de requisição que qualquer plataforma de hospedagem guarda, pelo prazo dela. O nosso código não os lê.
O que não temos
Dito aqui, antes que você precise perguntar.
- Não somos certificados SOC 2 nem ISO 27001.
- Não passamos por teste de intrusão de terceiros.
- Não mantemos programa de bug bounty e não pagamos por relatos.
- Não afirmamos que os seus dados nunca são armazenados. Eles são, e as seções acima dizem onde e por quanto tempo. Qualquer ferramenta de auditoria que afirme o contrário enquanto entrega um link permanente de relatório está descrevendo outra coisa que não a própria arquitetura.
- Também não certificamos a conformidade de ninguém, nem a nossa. Nossos relatórios detectam sinais de risco; isso não é um certificado, e nenhuma ferramenta automática consegue emitir um.
O que "segurança" significa dentro do relatório
Para que a palavra não fique fazendo um trabalho vago, esta é a lista exata do que o nosso motor observa na categoria de segurança — 18 verificações, todas lidas do que o seu site já mostra ao público: a resposta e o certificado:
- Strict-Transport-Security (HSTS)
- Content-Security-Policy (CSP)
- X-Frame-Options
- X-Content-Type-Options
- Referrer-Policy
- Permissions-Policy
- Cookies: se os cookies de sessão e de login que o site grava trazem Secure, HttpOnly e um SameSite declarado, lidos dos cabeçalhos do servidor, dos arquivos que a página carrega e do que o navegador registrou, inclusive os cookies gravados por JavaScript — validades longas e cookies de terceiros enviados sem Secure entram como avisos; cookies de outros domínios são contados, não julgados
- Se a página tem um link para uma política de privacidade — procuramos o link, não avaliamos o que a política diz
- Exposição de servidor e tecnologia nos cabeçalhos
- Configuração de CORS
- O certificado TLS da página final: dentro da validade, emitido para o nome do site, enviado com os certificados intermediários e encadeado a uma autoridade confiável
- Conteúdo misto: se a página https pede alguma imagem, script, folha de estilo, fonte, quadro ou outro sub-recurso por http sem proteção
- Integridade de recursos: se scripts e folhas de estilo de versão fixa vindos de outro site trazem um hash de integridade válido e que bate com o arquivo
- Credenciais e código-fonte expostos: se a página, os scripts próprios, um source map publicado ou um endereço que o navegador pede entrega um segredo ou o código do servidor a qualquer visitante — dizemos o tipo, o lugar e o tamanho, nunca o valor
- Bibliotecas JavaScript vulneráveis: se uma biblioteca que a página carrega, numa versão identificável pelo arquivo ou pelo endereço, tem aviso público de vulnerabilidade para essa versão (base Retire.js, cópia datada) — dizemos o aviso e a versão corrigida; o aviso fala da versão, não de como o site a usa
- Rastreio antes do consentimento: se a página já fala com serviços de publicidade, análise ou redes sociais, grava cookie ou chave de armazenamento de rastreio, liga gravação de sessão ou busca as fontes do Google no Google antes de o visitante escolher qualquer coisa — detectamos sinais de rastreio antes da escolha, vistos a partir dos Estados Unidos, nunca afirmamos que é ilegal
- Reverse tabnabbing em links externos
- Descida de protocolo: se algum passo do endereço pedido até a página final — um redirecionamento, um meta refresh, um cabeçalho Refresh ou JavaScript — leva o visitante de uma página https segura para um endereço http sem proteção
As 18 são observações do que o seu site mostra ao público. Nenhuma delas exige tocar em algo privado, e nenhuma delas é um teste de intrusão.
Uma dessas 18 — a verificação de Content-Security-Policy — é uma em que o nosso próprio site reprovou, em 1 de agosto de 2026. Endurecemos a política, e em 30 de agosto de 2026 a nossa própria auditoria aprovou. O registro datado das duas: Leia o registro da nossa própria auditoria
Como relatar um problema de segurança
Se você encontrar uma vulnerabilidade no próprio SiteMerit, escreva para security@sitemerit.com
- Não há janela de resposta garantida. Somos um time pequeno e preferimos dizer isso a publicar um nível de serviço que não conseguimos cumprir — prometer 48 horas é a frase mais fácil de escrever nesta página e a mais difícil de sustentar.
- Não há bug bounty e não há recompensa. E não vamos insinuar o contrário ficando calados a respeito.
- O que assumimos é o que um time pequeno consegue de fato entregar: lemos tudo o que chega naquele endereço.
- E não acionaremos advogados contra quem relatar um problema de boa-fé.
Veja o que ele lê no seu próprio site
A amostra gratuita roda na página que você escolher, sem conta e sem nada para cancelar.
Iniciar auditoria