Perguntas frequentes

Uma plataforma que mede se os seus programadores sabem rever código — o de um colega ou o de um assistente de IA — e permite-lhe mostrar o progresso deles aos seus clientes. Os seus programadores fazem avaliações de vinte perguntas pontuadas sobre o OWASP Top 10:2025; obtém o nível de cada um por família de vulnerabilidades, um nível de formação recomendado por programador e um relatório partilhável que prova o seu envolvimento ao longo do tempo. Não vendemos formação: medimos.

A CIO, CISO e lead developers que têm de decidir um orçamento de formação ou responder a um questionário de segurança de fornecedores, e aos próprios programadores, que usam gratuitamente toda a plataforma para situar o seu nível. Uma conta de empresa cria-se com um endereço de e-mail profissional.

Sim, até dez programadores, sem limite de duração e sem cartão bancário. O plano Free dá o essencial do produto: todo o banco de perguntas, nos quatro idiomas, enriquecido ao ritmo da atualidade, o painel, a exportação CSV e o relatório partilhável. Os papéis admin e manager, as equipas e a remoção de membros estão reservados ao plano Pro. Acima de dez programadores, o plano Pro custa 40 €/mês, faturados ao ano (480 €/ano sem IVA), sem limite de programadores. O plano Enterprise, para uma implementação na sua própria infraestrutura, é analisado mediante orçamento.

O OWASP Top 10:2025: controlo de acesso, configurações incorretas, cadeia de fornecimento de software, criptografia, injeção, design inseguro, autenticação, integridade, registo de eventos e tratamento de condições excecionais. Perguntas sobre as dez famílias, distribuídas por três níveis, com código para rever em JavaScript, Python, C#, Go, Java, PHP, SQL, TypeScript e YAML; as restantes incidem sobre os princípios, os mecanismos e os erros de conceção que surgem ao rever. Cada avaliação sorteia vinte. O que distingue o banco não é o tamanho, mas o movimento: acompanhamos as falhas recém-exploradas, as evoluções das recomendações OWASP e a regulamentação, e o que muda uma prática de desenvolvimento torna-se uma pergunta na atualização seguinte do banco. Cada resposta é explicada.

Não. Nada se liga ao seu código: nem repositório, nem cadeia de integração, nem token. Avaliamos os seus programadores, não as suas aplicações.

Sim. Rever código é uma só competência, seja quem for o autor — um colega ou um assistente de IA. Avaliamos a pessoa que aprova o código, não a ferramenta que o escreveu.

Não. Reporta a progressão dos seus programadores, família a família. Não nomeia as suas ferramentas nem os seus repositórios.

Não: a NakamaCyber não emite certificados, mede ao longo do tempo. Os seus programadores fazem regularmente avaliações de revisão de código sobre o OWASP Top 10:2025, e o relatório mostra o seu empenho, a sua regularidade e a sua progressão mês após mês: uma prova datada, que o seu cliente ou auditor abre sem conta.

Não. Avaliamos, recomendamos um nível de formação por programador e, depois, medimos a diferença. A escolha do prestador é sua: um juiz que vende os seus próprios cursos deixa de ser juiz.

É o nível imediatamente acima do nível mais alto que o programador já aprovou com pelo menos oitenta por cento de respostas certas. Um programador que ainda não atingiu esse limiar em principiante continua recomendado em principiante; quem aprovou o nível especialista aparece como tendo concluído todos os níveis. A regra é simples de propósito: tem de poder ser explicada à pessoa em causa.

É um documento apenas de leitura que publica num clique a partir do separador Conformidade e que envia a um cliente, a uma entidade contratante ou a um departamento de compras. Abre-se sem conta, no idioma à sua escolha, e mostra a participação dos seus programadores, a regularidade mês a mês, o progresso em índice base cem ao longo de doze meses e a cobertura medida das dez famílias OWASP. Não contém qualquer dado pessoal: nem nome, nem endereço, nem resultado individual. Abaixo de cinco participantes ativos, reduz-se automaticamente. A ligação é revogável, expira ao fim de trinta, noventa ou cento e oitenta dias, e o seu conteúdo fica fixado no momento da publicação. Um exemplo completo pode ser consultado na página Relatório de exemplo.

Ver um relatório de exemplo

Não, e não é esse o seu papel. O relatório partilhado é deliberadamente anónimo porque se destina a um terceiro. Para a sua auditoria interna, os admins e os managers exportam um ficheiro CSV de vinte e três colunas que contém, programador a programador, a média, as pontuações por nível, a categoria prioritária, a data da última avaliação e o nível de formação recomendado. Dois documentos, dois destinatários.

Não. O NakamaCyber não atesta qualquer conformidade nem emite qualquer homologação. O relatório cita estes textos para o ajudar a situar o que ele traz a um dossiê — um registo datado de avaliações regulares dos seus programadores, o que o PCI-DSS espera de doze em doze meses ao abrigo do seu requisito 6.2.2 — e indica, linha a linha, o que não traz: o carácter obrigatório dos módulos, a cobertura de todo o pessoal ou a prova nominativa que um auditor exige.

Um programador só vê os seus próprios resultados. Um manager só vê os programadores da sua equipa. Um admin vê toda a empresa e pode promover admins, nomear managers e publicar relatórios. A conta proprietária não faz avaliações: é uma conta de gestão. Esta compartimentação é aplicada do lado do servidor pelas regras de acesso à base de dados, não apenas pela interface, e é revalidada em cada implementação por uma bateria de testes dedicada. A interface e as perguntas existem em francês, inglês, espanhol e português.

A base de dados da aplicação (Firestore) está alojada no Google Cloud, na multirregião europeia eur3, entre a Bélgica e os Países Baixos; as contas de acesso são geridas pelo Firebase Authentication, cuja localização e transferências estão descritas na nossa política de privacidade. Não vendemos nem cedemos os seus dados; a mesma política detalha os tratamentos e os subcontratantes. O NakamaCyber é operado pela Nakama, Sociedade por Quotas, Lda, sociedade portuguesa, e financiado pelas suas subscrições Pro e Enterprise, não por publicidade nem pela revenda de dados. O plano Free é o nosso canal de aquisição: não está destinado a desaparecer, mas não escrevemos «grátis para toda a vida», porque ninguém o pode escrever honestamente.