Scanners de segurança para vibe coding comparados, o nosso incluído

Você digitou "melhor scanner de segurança para vibe coding" numa busca, e o primeiro comparativo que voltou tinha sido escrito por um dos scanners. O aviso estava lá, numa linha embaixo da tabela.

A Reeve é uma das dez ferramentas abaixo, então esta página tem o mesmo problema. A Reeve é um scanner de segurança grátis que lê uma URL ao vivo em uns vinte segundos sem conta, e uma assinatura paga que continua vigiando o app depois e guarda uma cópia verificada do banco de dados dele. O que dá para fazer com esse conflito é mostrar o trabalho. Cada linha foi lida no site do próprio vendedor em 7 de setembro de 2026, cada preço está impresso incluindo o nosso, aqui não há nada patrocinado, e perto do fim há uma seção que nomeia os três trabalhos desta página que a Reeve não faz.

Aqui está o que os comparativos escritos pelos fabricantes deixam de fora. A maioria dessas ferramentas lê a mesma superfície. Elas carregam o seu app ao vivo, baixam o JavaScript que ele manda para o navegador, leem os cabeçalhos que vieram junto, fazem ao seu banco de dados uma pergunta que qualquer estranho poderia fazer, e anotam o que respondeu. O escaneamento é a parte que elas têm em comum. Três perguntas as separam:

1. Ela distingue uma chave que pertence ao seu app de uma que não pertence?
2. Ela avisa quando uma verificação não obteve resposta?
3. Acontece alguma coisa no dia em que os seus dados realmente sumirem?

Qual é o melhor scanner de segurança para vibe coding?

O que consegue ler a superfície em que o seu problema está. Essa pergunta ordena a lista mais rápido do que qualquer lista de recursos, e divide dez ferramentas em três grupos.

Ferramentas a que você dá uma URL. SafeToShip, LaunchGuard, Vibe App Scanner, VibeEval, SupaExplorer e Reeve. Você cola um endereço, elas carregam o seu app do jeito que um visitante carregaria, e em um ou dois minutos volta um relatório. Nada para instalar, nenhuma conta para conectar, nenhum acesso a nada que seja seu.

Ferramentas a que você dá o seu código. O CheckVibe lê uma URL ao vivo e também se conecta a um repositório do GitHub se você deixar. Ler o código-fonte responde perguntas que um escaneamento de URL não consegue fazer, e traz um ponto cego próprio, e por isso o que um escaneamento de URL não vê vale a leitura antes de você pagar por qualquer um dos dois.

Ferramentas a que você dá a sua conta do Supabase. O próprio Security Advisor do Supabase mora no seu painel e lê a configuração do projeto. O Defencecore pede acesso somente leitura aos logs de um projeto e depois os vigia. O Supabomb é uma ferramenta de linha de comando de código aberto escrita para quem faz isso profissionalmente. As três alcançam de dentro da conta coisas que nada colocado fora do seu app consegue ver.

Se você está no Supabase e nunca abriu o Security Advisor, abra esse antes de pagar qualquer um desta página. Ele é grátis, roda sozinho, e escreve para o dono do projeto quando aparece uma tabela com a Row Level Security desligada. Ele também não concorre com nada aqui: ele lê a sua configuração, enquanto um escaneamento lê o que a sua configuração está fazendo com estranhos, e essas duas coisas se separam mais do que qualquer um espera.

O que cada scanner lê de verdade?

Sete dos dez funcionam apenas com uma URL. Os outros três querem alguma coisa que você precisa entrar para entregar, e essa é a coluna que se lê antes de qualquer lista de recursos. As duas da direita decidem se você consegue testar uma ferramenta hoje de manhã: cinco escaneiam sem conta nenhuma, e quatro desses cinco mostram o relatório inteiro.

Cada linha foi lida nas páginas da própria ferramenta em 7 de setembro de 2026. Esta é uma categoria jovem e as páginas se mexem, então trate a linha como mais velha que o site de onde veio.

É nessa tabela que a maioria dos comparativos para, e é a parte que menos separa essas ferramentas.

As três perguntas, ferramenta por ferramenta

A Reeve é a única das dez que responde sim às três.

"A página dele não diz" quer dizer exatamente isso. Conseguimos ler o que essas ferramentas publicam sobre si mesmas; o relatório que você receberia não conseguimos ver. As três seções abaixo explicam cada coluna e dão um jeito de conferir isso no seu próprio app, escaneando com duas dessas ferramentas e lendo os dois relatórios lado a lado.

Ela distingue as suas chaves seguras das perigosas?

A Reeve distingue, decodificando a chave e lendo o papel escrito dentro dela. Essa única capacidade é a diferença entre um relatório com que você consegue fazer alguma coisa e uma lista de quarenta itens pelos quais você aprende a rolar direto.

Comece pelo motivo de as contagens divergirem tanto. Um número de verificações é um número de marketing e não uma medida: o CheckVibe anuncia mais de cem, a Reeve roda nove e publica com que frequência cada uma das nove dispara em 30.998 apps. Uma lista mais longa sobre o mesmo app é uma lista mais longa. A causa maior é que alguns scanners tratam como problema qualquer chave que encontram no seu JavaScript, e algumas dessas chaves têm de estar ali.

A sua chave publicável do Supabase pertence ao seu frontend. Uma chave da Stripe que começa com pk_live_ também. As duas viajam para todo visitante por desenho, porque o pedido que elas identificam sai do navegador do visitante, e nenhuma delas concede nada sozinha. Quais chaves são seguras no seu frontend é essa distinção inteira.

Em 7 de setembro de 2026, a home do VibeEval listava "Stripe pk_live_ found in /assets/app.js" entre cinco achados de exemplo, marcado CRIT. Essa é uma chave publicável, exatamente no lugar onde a Stripe a publica. Não conseguimos ver os relatórios que essas ferramentas mandam aos clientes de verdade, então leia isso como uma página de marketing e não como um veredito sobre o produto. É um exemplo limpo do que conferir, e o dano não é aquela linha errada. Um scanner que te dá um achado crítico por você ter feito uma coisa certa te ensina a dar de ombros no próximo, e o próximo é o achado de verdade.

Uma chave antiga do Supabase é um JWT, e a seção do meio dela diz "role": "anon" ou "role": "service_role" em texto legível. A Reeve lê essa palavra. Uma chave publicável no seu bundle volta sob um título dizendo que isso você fez certo, sem te custar nada, e uma chave service_role no mesmo bundle é a pior coisa que o scanner sabe achar. As duas são quase idênticas no painel do Supabase, uma do lado da outra, e é assim que a errada acaba copiada.

Ela avisa quando uma verificação não obteve resposta?

A Reeve avisa, com essas palavras. Uma verificação termina de três jeitos e só um deles é aprovação: ela acha alguma coisa, recebe um não claro, ou não recebe nada porque o pedido estourou o tempo, o servidor recusou, ou a página nunca terminou de carregar. Esse terceiro fim é a caixa vazia à direita na imagem acima. Ele sai como "Não foi possível verificar" e deixa a sua nota em paz.

Essa é a coisa mais silenciosa da página e a que decide se um relatório vale alguma coisa, porque uma sonda sem resposta parece exatamente uma sonda que voltou limpa, assim que alguém a arredonda para um visto. Você agiria com base nesse visto. Atrás dele não há nada.

Fomos procurar a mesma promessa nos outros nove sites em 7 de setembro de 2026 e não a encontramos em lugar nenhum. Isso não prova que algum deles arredonde para cima. É uma afirmação que nenhum coloca por escrito, e é a que gostaríamos de ter por escrito antes de acreditar num relatório verde sobre um app com que nos importamos.

A mesma regra governa os números que a Reeve publica sobre todos os outros. Entre 12 e 14 de agosto de 2026 rodamos as nove verificações sobre 30.998 apps vibe-coded ao vivo construídos com Lovable, Bolt, v0, Cursor, Replit, Windsurf e Base44, liberamos cada agregado sob CC BY 4.0 para qualquer um reutilizar, e anotamos com que frequência cada verificação disparou, que fatia de apps ela não alcançou, e como essas foram contadas. Uma verificação sem resposta fica numa coluna própria e não na pilha limpa, então nada naquela página está inflado por contar silêncio como segurança. A home do LaunchGuard publica 96 apps testados e 2,37 milhões de registros expostos. Nenhum dos outros oito sites que lemos publicava número algum.

O que acontece no dia em que os seus dados sumirem?

Nada, em nove das dez. Um scanner acha a porta aberta. Ele não consegue dizer quem já passou por ela, e não consegue devolver uma tabela que alguém esvaziou na terça.

O Reeve Care é a décima, e fechar essa lacuna é a razão de esta empresa existir. Ele tira cópias do seu banco Supabase segundo um horário, abre cada cópia e a conta contra o que entrou antes de a cópia valer como backup, guarda as cópias fora da sua conta do Supabase para que um projeto suspenso ou um login que você não recupera as deixe onde estão, e substitui os seus dados a partir de uma delas quando você pede. Antes de qualquer substituição, é tirada primeiro uma cópia do estado atual.

Os seus arquivos enviados viajam junto com as linhas assim que você conecta uma credencial de Storage, que é uma segunda chave pedida à parte e a única que a Reeve guarda capaz de escrever, porque o Supabase não emite nenhuma chave somente leitura para arquivos. O que isso faz exatamente está desenhado na página de backups.

O Supabase é a única coisa que o Care consegue copiar, então se os seus dados moram no Firebase ou em outro lugar, esta seção inteira não está aberta para você e a metade que escaneia é o que a Reeve tem a oferecer. O Vibe App Scanner e o SafeToShip conferem as regras de segurança do Firebase, que é o equivalente mais próximo nesta página.

O que você leva por uma assinatura mensal?

Em nove das dez, mais escaneamentos. Na Reeve, os escaneamentos mais o que acontece depois que um deles acha alguma coisa.

Esses números dos outros são os que os cinco vendedores que publicam algum mostravam em 7 de setembro de 2026: SafeToShip $24, Vibe App Scanner $29 ou $49, VibeEval $49 com um plano de equipe de $149, Defencecore $29 e SupaExplorer mais abaixo, em $6.75 atrás de um banner de desconto. CheckVibe e LaunchGuard não publicam número nenhum. Leia o preço atual na página do próprio vendedor antes de comprar qualquer coisa, e isso inclui o nosso, que às vezes fica abaixo do número de tabela daqui e nunca acima.

Todo plano pago aqui dá para testar antes de cobrar. A Reeve te dá sete dias, o Defencecore sete, e o VibeEval anuncia catorze sem cartão. Os outros não dizem nas páginas de preço deles.

Duas coisas saem dessa última linha. O Reeve Monitor custa $12 por mês por três apps, abaixo de todo plano pago daqui menos um com desconto, e é a metade da vigilância inteira: reescaneamentos de hora em hora, uma sonda de disponibilidade a cada 60 segundos, alertas quando algo muda e um relatório mensal. E o Reeve Care custa $49 por mês, que é exatamente o que cobram o VibeEval Pro e o Vibe App Scanner Pro, sendo a única assinatura da página que também guarda uma cópia verificada do seu banco de dados e a devolve quando você pede. Acima disso, o Care Pro a $79 acrescenta cinco apps, backups duas vezes por dia e uma página de status pública, e o Care Max a $139 os tira quatro vezes por dia e fica abaixo do plano de equipe do VibeEval, de $149.

Onde a Reeve não é a resposta

Três trabalhos desta página que a Reeve não faz.

• Ler o seu código-fonte. O CheckVibe faz isso se você conectar o GitHub, e os scanners de segredos dedicados a esse trabalho vão mais fundo que qualquer um de nós dois. É também o único jeito de achar uma chave que saiu do seu app meses atrás e continua sentada no histórico dele.
• Testar o app logado. O VibeEval dirige um navegador de verdade pelas telas de login, o Vibe App Scanner faz escaneamentos autenticados no plano mais alto dele, e o plano pago do LaunchGuard leva o Claude Code por cenários de autorização. A Reeve nunca faz login, nunca escreve e nunca baixa uma linha, o que é o que torna seguro apontá-la para um app em produção com clientes de verdade, e é também por isso que um bug que só aparece para um usuário logado fica invisível para ela.
• Ser aberta, ou ser dirigida pelo seu agente. O Supabomb é de código aberto e escrito em Python. O Vibe App Scanner publica um servidor MCP, o CheckVibe leva os achados dele para o Claude ou o Cursor, e o advisor do Supabase é alcançável pelo próprio servidor MCP do Supabase. A Reeve não publica nem o código nem um servidor MCP.

Onde a Reeve é a resposta: o seu app está no ar, você quer saber o que ele entrega a estranhos agora mesmo sem conectar conta nenhuma a nada, você quer um relatório que diga o que você fez certo com a mesma clareza do que está aberto, e gostaria que alguém estivesse guardando uma cópia verificada do seu banco de dados no dia em que der errado.

O que você está entregando quando uma ferramenta lê o seu código?

Acesso permanente a tudo o que está no repositório, o que é uma coisa bem maior que o app.

O seu repositório não é o seu app. Ele guarda cada chave que você já comitou e depois tirou, os arquivos de seed e de fixture com dados de cliente que parecem reais, o branch pela metade que ninguém publicou, e as instruções que você escreveu para o seu construtor de IA. Essa última surpreende as pessoas. O seu CLAUDE.md, os seus .cursorrules, o seu AGENTS.md, o prompt longo que descreve como o produto deve se comportar: isso é o seu pensamento de produto, em texto puro, dentro do repositório. Um escaneamento de URL vê o app que os seus visitantes veem. Uma conexão ao repositório vê tudo isso, e agora uma segunda empresa guarda uma cópia.

Três coisas para conferir antes de conceder um:

• É acesso permanente e não uma visita. Um GitHub App ou uma autorização OAuth continua funcionando até você ir lá revogar, então também lê o que você publicar mês que vem. Descubra se dá para limitar a um repositório, e ache o botão de revogar antes de precisar dele.
• A brecha deles vira a sua. Tudo o que um fornecedor guarda sobre você fica exposto quando o fornecedor fica. O Defencecore faz exatamente esse argumento a favor de si mesmo na própria página, e é um bom argumento: uma ferramenta que só lê pode "never become the incident".
• Uma ferramenta que faz login pode mudar coisas. Um scanner que dirige um navegador pelo seu login faz o que um usuário faz, sobre os seus dados ao vivo. Leia o que ele diz que vai clicar e o que não vai.

Isso é uma troca e não um aviso. Um scanner de repositório acha a chave que você apagou em abril e nada que leia o seu site ao vivo vai achar, então se essa é a sua pergunta, o acesso é o que custa a resposta.

Qual você deveria escolher?

Cinco situações, e duas delas não terminam com a gente.

• Você quer saber agora e de graça o que o seu app mostra a um estranho.O escaneamento da Reeve ou o LaunchGuard. Nenhum dos dois pede cadastro, e os dois voltam em menos de um minuto. SafeToShip e SupaExplorer também escaneiam sem conta.
• Você está no Supabase e nunca abriu o Security Advisor. Esse primeiro, antes de qualquer coisa com preço nesta página. Ele é grátis e lê o que nenhum escaneamento de fora consegue ler.
• Você quer o seu código-fonte lido, ou o app testado logado. CheckVibe para o repositório, VibeEval ou o plano mais alto do Vibe App Scanner para o que está atrás do login. Leia a seção acima sobre o que esse acesso custa antes de concedê-lo.
• Você quer o app vigiado e está contando cada centavo. Reeve Monitor, $12 por mês por três apps: reescaneamentos de hora em hora, uma sonda de disponibilidade a cada 60 segundos, alertas e um relatório mensal, e nenhum backup.
• Você tem clientes de verdade e ninguém que vá rodar uma restauração sob pressão. Reeve Care, $49 por mês, que é o escaneamento e a vigilância e uma cópia verificada do seu banco de dados que volta com um botão. Se os seus dados não estão no Supabase, a metade dos backups não se aplica a você.

O que fazer esta semana

O escaneamento de segurança grátis da Reeve lê uma URL ao vivo em uns vinte segundos sem conta, dá nota ao que encontrou, e lista o que você fez certo ao lado do que está aberto. Ter um app vigiado depois começa em $12 por mês, e os backups com restauração de um botão em $49; os planos estão aqui. Se você prefere primeiro passar o olho no seu app sozinho, o checklist de segurança de 10 minutos cobre o mesmo terreno sem uma ferramenta no meio.