Aprenda a configurar, usar e validar cada recurso da Iron AI com orientações objetivas, exemplos reais e práticas seguras.
Este fluxo cria uma base confiável sem exigir conhecimento avançado.
Use usuário e senha. No primeiro acesso, informe a chave recebida por email. Se a conta já estiver conectada em outro dispositivo, confirme conscientemente a substituição da sessão.
Ative o MFA em Configurações → Segurança antes de conectar integrações.
Informe o domínio principal, ambiente de nuvem, fonte de código e porte da empresa. Esses dados orientam a experiência; eles não iniciam ataques nem scans automaticamente.
Acesse Ativos → Adicionar ativo. Informe nome, tipo, URL, ambiente, criticidade e exposição. Cadastre somente sistemas próprios ou com autorização formal.
Abrir AtivosSelecione o ativo e use Analisar ativo. Escolha o perfil adequado, confirme a autorização e acompanhe o processamento em Monitoramento.
Abra o finding mais relevante, confira evidência e recomendação, defina o status e gere um relatório para compartilhar o resultado.
Ao final, a Visão Geral mostra o ativo, o Security Score e os riscos persistidos. Se não houver findings, isso significa apenas que aquela análise não encontrou os padrões cobertos — não é garantia de ausência de vulnerabilidades.
Os mesmos conceitos aparecem em toda a plataforma.
Workspace isolado que reúne usuários, ativos, riscos, relatórios, integrações e auditoria.
Domínio, API, aplicação, repositório ou sistema que sua empresa precisa proteger.
A análise coleta evidências. O job registra fila, execução, conclusão ou falha.
Constatação consolidada com severidade, confiança, exposição, evidência e recomendação.
Prioridade determinística que combina fatos técnicos e contexto. Não é percentual de invulnerabilidade.
Tarefa rastreável para transformar um finding confirmado em correção acompanhada.
Use o dashboard para decidir onde agir primeiro.
Cadastre o que importa e execute análises proporcionais ao ambiente.
Nunca use a plataforma contra terceiros sem permissão explícita. Prefira homologação para análises mais profundas. A proteção SSRF e as validações de destino reduzem risco, mas não substituem governança.
Não necessariamente. O resultado cobre apenas verificações realizadas naquele momento. Autenticação, regras de negócio, infraestrutura interna e vulnerabilidades novas podem exigir outras evidências e testes especializados.
Transforme evidência técnica em trabalho verificável.
Confirme ativo, evidência, severidade, confiança e exposição. Use falso positivo apenas com justificativa técnica.
Leia a remediação, crie uma tarefa e defina prioridade. Se houver Jira conectado, envie o finding para o projeto correto.
Após corrigir, execute nova análise. Marque como resolvido quando houver evidência de que a condição não está mais presente.
Use esse status somente após decisão documentada, responsável definido e prazo de revisão.
Receba telemetria defensiva e contenha uma origem com aprovação humana.
IRON_AI_SENSOR_KEY='chave_exibida_uma_vez' python3 iron_ai_sensor.py \
--log /var/log/nginx/access.log \
--endpoint https://app.sua-iron-ai.comConfirme o IP real do cliente e nunca bloqueie seu IP administrativo, CDN, proxy, load balancer ou endereço compartilhado. Teste primeiro em homologação com uma VPS controlada.
Zone: Read, permissão para regras de IP e Zone WAF: Write ou Zone Rulesets: Write./api/: padrão de 120 requisições por IP em 60 segundos e mitigação de 5 minutos.nftables ou iptables.Execute o comando gerado no servidor Linux do site, com sudo, e não no computador do operador. O instalador valida o SHA-256, usa o token uma vez e cria o serviço do sensor.
Atrás do Cloudflare, o Nginx deve registrar o IP real somente a partir das redes confiáveis do provedor.
SMTP_HOST, SMTP_PORT, SMTP_USER, SMTP_PASSWORD e FROM_EMAIL.Rate limiting protege abuso de API, mas não resolve sozinho uma saturação de rede. O Cloudflare precisa estar como proxy e filtrar o tráfego na borda antes que ele chegue ao servidor.
DATABASE_URL, REDIS_URL e CREDENTIAL_ENCRYPTION_KEY.Receba eventos reais, aplique regras de detecção e acompanhe incidentes dentro da própria plataforma.
X-Iron-AI-SIEM-Key. A plataforma valida a chave, normaliza o evento e atualiza a fonte.event_type, outcome, source_ip e payload.campo.curl -X POST 'https://app.sua-iron-ai.com/api/siem/ingest' \
-H 'X-Iron-AI-SIEM-Key: chave_copiada_na_criacao' \
-H 'Content-Type: application/json' \
-d '{"event_type":"authentication","severity":"high","source_ip":"203.0.113.10","user_name":"admin","action":"login","outcome":"failure","message":"Falha de autenticação","payload":{"service":"portal"}}'Envie primeiro um evento de teste, confirme a entrada em SIEM → Eventos e só depois ative regras de maior severidade. Nunca coloque tokens em código público ou logs.
Os PDFs são construídos a partir de fatos persistidos da organização, sem dados fictícios.
Score, exposição, distribuição de severidade, evolução, conformidade, principais riscos e recomendações.
Use em:Ativos, findings detalhados, evidências, CVE/CWE quando disponíveis, score e orientação de correção.
Use em:Inventário, riscos, tarefas, políticas, SIEM, monitoramento, integrações, membros e auditoria em um único documento organizado.
Use em:Acompanhe prontidão sem confundir indicador com certificação.
Crie, aprove, publique e comprove o aceite das regras internas da organização.
Use uma política por tema, mantenha um responsável definido e não publique regras que a organização ainda não consegue cumprir. O indicador de conformidade usa essas evidências, mas não substitui certificação ou parecer jurídico.
Pergunte sobre os dados autorizados da sua organização e mantenha decisões sob controle humano.
A ação permitida cria uma tarefa de remediação para um finding existente. Ela exige aprovação de owner/admin antes da execução e fica na auditoria. A IA não altera firewall, código ou infraestrutura silenciosamente.
O provedor externo não está conectado ou respondeu com falha. A plataforma continua oferecendo uma resposta determinística limitada. Confira Configurações → Segurança da plataforma e as credenciais do provedor no ambiente.
Conecte fontes externas com credenciais de menor privilégio.
Valida o token e sincroniza repositórios como ativos.
Funciona com GitLab.com ou uma instalação pública HTTPS.
Importa projetos e repositórios usando PAT.
Valida projetos e cria issues a partir de findings.
Use contas técnicas, escopos mínimos e rotação periódica. Tokens são criptografados no cofre da plataforma, mas a segurança também depende das permissões concedidas no provedor.
Proteja o acesso antes de ampliar integrações e automações.
A Iron AI mantém uma sessão ativa por conta. Ao substituir uma sessão, confirme que foi você. Sessões inativas expiram e tokens antigos deixam de funcionar.
Entenda cobrança, acesso, cancelamento e renovação.
| Plano | Preço | Vigência | Capacidade principal |
|---|---|---|---|
| Starter | R$ 389,90/mês | Recorrente | 100 scans mensais e plataforma essencial |
| Professional | R$ 3.789,90 | 4 meses | Scans ilimitados e monitoramento em tempo real |
| Enterprise | R$ 8.989,90 | 1 ano | Shield, SSO e recursos avançados |
Em Configurações → Plano e uso, selecione Cancelar assinatura e digite a confirmação. Dentro da janela de 7 dias após o pagamento, a aplicação solicita o estorno ao Stripe. Depois disso, cancela a recorrência sem estorno automático.
Ao vencer Professional ou Enterprise, o login é bloqueado e mostra a renovação. Renovar no Stripe abre um checkout protegido; Cancelar retorna ao login. O novo prazo começa após o webhook confirmar o pagamento.
Professional e Enterprise solicitam parcelamento ao Stripe. As opções exibidas dependem da conta, região e cartão elegíveis. Sempre confira valor e parcelas na tela do provedor antes de pagar.
Injete findings normalizados ou SARIF e use a resposta para decidir o pipeline.
curl -X POST 'https://app.sua-iron-ai.com/api/pipeline/ingest' \
-H 'Content-Type: application/json' \
-H 'X-Iron-AI-Key: iai_SUA_CHAVE' \
-d '{
"asset_id": 42,
"source": "semgrep",
"format": "normalized",
"complete_scan": true,
"gate_fail_on": "high",
"gate_max_allowed": 0,
"findings": [{
"title": "SQL montado por concatenação",
"severity": "high",
"location": "app/repository.py:84",
"remediation": "Use parâmetros preparados"
}]
}'Armazene-a no secret manager do CI, nunca no repositório, log ou artefato. Revogue imediatamente se houver vazamento.
Acompanhe targets, disponibilidade, incidentes e verificações especializadas.
Informe nome, tipo, endereço, portas, intervalo e limiar de alerta. Use somente ativos autorizados.
Observe status, latência, disponibilidade e incidentes. Execute verificação manual quando precisar validar imediatamente.
Investigue incidentes, registre status, use bloqueios controlados e exporte o relatório completo.
Em produção, mantenha web, worker e scheduler executando e monitorados. A interface sozinha não executa verificações recorrentes em segundo plano.
Ferramentas especializadas com dupla autorização.
O acesso exige assinatura Enterprise ativa e a permissão explícita is_developer. Ser administrador não ignora essas exigências.
Essas ferramentas podem gerar tráfego sensível. Comece em homologação, limite escopo e intensidade e preserve evidências da autorização.
A interface usa a API autenticada sob o prefixo /api.
Use Bearer token para sessão de usuário, X-Iron-AI-Key para pipeline e X-Iron-AI-Sensor-Key para telemetria. As chaves não são intercambiáveis.
curl -X POST 'http://localhost:8000/api/auth/token' \
-H 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'username=seu_usuario' \
--data-urlencode 'password=sua_senha' \
--data-urlencode 'mfa_code=123456'curl 'http://localhost:8000/api/assets' \
-H 'Authorization: Bearer SEU_TOKEN'curl -X POST 'https://app.sua-iron-ai.com/api/security-monitoring/ingest' \
-H 'Content-Type: application/json' \
-H 'X-Iron-AI-Sensor-Key: iais_SUA_CHAVE' \
-d '{"events":[{
"signal":"web_scan",
"source_ip":"IP_PUBLICO_CONTROLADO",
"method":"GET",
"path":"/.env",
"status_code":404,
"request_count":32,
"window_seconds":60,
"source":"waf"
}]}'Comece pelo sintoma e valide a camada correta.
Já existe um processo usando a porta 8000. Encerre o processo anterior com Ctrl+C no terminal em que ele foi iniciado ou identifique o PID antes de iniciar novamente. Não execute duas instâncias locais na mesma porta.
Confira ALLOWED_HOSTS, FRONTEND_URL e o host usado no navegador. Localmente, inclua localhost e 127.0.0.1; em produção, use somente o domínio real.
Confira AI_PROVIDER, chave, modelo e conectividade. Em Configurações, valide se aparece “Conectada”. Reinicie o processo após alterar o ambiente.
Valide STRIPE_SECRET_KEY, STRIPE_WEBHOOK_SECRET, URL pública do webhook e se as chaves pertencem ao mesmo modo test/live. Não misture Price IDs recorrentes e únicos.
Entre com as credenciais normais. A tela mostra a modal de renovação. O botão Renovar abre o Stripe; o acesso volta após confirmação do webhook.
Confirme plano Professional+, sensor não revogado, chave correta, endpoint HTTPS, relógio do servidor, permissão de leitura do log e se o proxy registra o IP real.
Revise expiração e escopos do token, URL base pública HTTPS, organização/projeto e rate limit do provedor. Desconecte e conecte novamente após rotacionar a credencial.
./start.sh
# em outro terminal
curl -i http://localhost:8000/api/health
curl -I http://localhost:8000/landing.htmlAbra a plataforma, consulte a Iron AI sobre seus riscos ou use esta busca para encontrar o procedimento exato.
Pesquise por uma funcionalidade, erro ou procedimento.