Estas respostas se aplicam ao Codex Security na nuvem. Para instalar e executar a primeira varredura, consulte o guia de configuração na nuvem. Para varreduras locais, há guias separados para o plugin e a CLI.
Cobrança
Como funciona a cobrança das varreduras na nuvem?
As varreduras de repositório e as varreduras contínuas configuradas após as 12h53 de 1º de outubro de 2026, no horário do Pacífico, são cobradas conforme o uso de tokens e as tarifas do seu plano. A cobrança é feita em créditos ou dólares americanos, dependendo do plano de cobrança. Para contas elegíveis, os créditos gratuitos para varreduras são usados antes de qualquer cobrança pelo uso pago.
A franquia de uso incluída no seu plano não cobre esse consumo.
As varreduras contínuas configuradas antes desse horário são gratuitas até 21 de outubro de 2026. Depois dessa data, se você ativar o uso pago, elas serão cobradas pelas tarifas normais por token do plano de cobrança da sua conta. Caso contrário, serão pausadas.
Tenho direito a um período gratuito de varreduras ou a créditos gratuitos para varreduras?
O benefício depende de a varredura contínua já estar configurada na sua conta antes das 12h53 de 1º de outubro de 2026, no horário do Pacífico.
- Se já estava configurada, as varreduras contínuas cobertas pelo benefício continuam gratuitas até 21 de outubro de 2026. Esse período gratuito não cobre varreduras de repositório nem varreduras contínuas configuradas após as 12h53 de 1º de outubro de 2026, no horário do Pacífico.
- Se ainda não estava configurada, as contas elegíveis recebem US$ 500 em créditos gratuitos para varreduras em vez do período gratuito de varredura contínua.
Como funcionam os créditos gratuitos para varreduras?
As varreduras de repositório e as varreduras contínuas usam o mesmo saldo de créditos gratuitos. Em um espaço de trabalho, todos compartilham esse saldo. Esses créditos não expiram.
Quando o saldo gratuito acabar, as próximas varreduras serão cobradas conforme o plano de cobrança da sua conta ou do seu espaço de trabalho.
O que acontece quando termina o período gratuito de varredura contínua?
Selecione Manter varreduras em execução e ative o uso pago para continuar com essas varreduras após o período gratuito. A partir de então, elas serão cobradas pelas tarifas normais por token do plano de cobrança da sua conta ou do seu espaço de trabalho.
Se você optar por interromper as varreduras ou não ativar o uso pago, elas serão pausadas ao fim do período gratuito. Para ativar o uso pago depois, selecione Reativar varreduras. Se você não tiver permissão para fazer essa escolha em um espaço de trabalho, peça a um dos proprietários que a faça.
Onde posso consultar o uso de tokens e as cobranças?
Em Varreduras, abra uma varredura para consultar o uso de tokens e o custo. Passe o cursor sobre a contagem de tokens para ver quantos são de entrada, de entrada em cache e de saída. Os tokens de entrada em cache já estão incluídos na contagem de entrada e não são somados novamente.
A seção de uso mostra o custo antes da aplicação dos créditos gratuitos para varreduras ou das isenções de cobrança. Ela também mostra o valor coberto por esses créditos, quando houver.
Varreduras com a indicação “Varredura isenta de cobrança. Nenhum valor será cobrado.” são gratuitas, mesmo que exibam o uso de tokens e o custo.
Varreduras
É preciso compilar o projeto para executar uma varredura?
O Codex Security consegue analisar o código-fonte mesmo que a compilação falhe. Para reproduzir um problema, a validação pode exigir dependências ou uma compilação funcional. Configure esses requisitos no ambiente de nuvem do Codex.
Se não for possível executar a validação, verifique o que o código-fonte comprova sobre o achado e o que ainda depende do comportamento do sistema em tempo de execução ou na implantação.
Quais linguagens são compatíveis?
O Codex Security analisa código-fonte em várias linguagens. Os resultados dependem da capacidade do modelo de interpretar o código na linguagem e no framework usados, além do contexto disponível no repositório. Mesmo quando a varredura é concluída com sucesso, a cobertura pode variar entre linguagens ou componentes. Consulte o relatório para saber o que foi de fato analisado.
Qual é a diferença entre as varreduras de repositório e o monitoramento de commits?
A Varredura única analisa o repositório uma vez. A Varredura contínua monitora novos commits e pode analisar partes selecionadas do histórico de commits. Para ativá-la após a primeira varredura, siga as instruções em Monitorar novos commits.
Posso pausar o monitoramento de commits?
Abra Repositórios, selecione o repositório e abra Configurações de monitoramento. Defina o monitoramento como Pausado e selecione Salvar. Você pode reativá-lo nas mesmas configurações.
Posso editar o modelo de ameaças?
Sim. Atualize o modelo nas Configurações de monitoramento do repositório monitorado quando houver mudanças na arquitetura, na implantação ou nas premissas de segurança. O guia do modelo de ameaças explica o que incluir. As alterações se aplicam às próximas varreduras.
Achados e validação
O que a validação comprova?
Consulte as evidências anexadas ao achado em questão. A análise do código-fonte pode comprovar que há um caminho de execução vulnerável. As evidências de execução podem mostrar que um exemplo de reprodução ou um teste específico demonstrou o problema.
O status e a gravidade registrados para cada achado ajudam a organizar a revisão. Considere as evidências e os pré-requisitos para decidir se o achado se aplica ao seu sistema e o que corrigir.
O que acontece se a validação falhar?
Examine a tentativa de validação e os logs disponíveis. Se não foi possível reproduzir o problema, pode ser que ele não se aplique ao seu sistema ou que o ambiente ou o teste tenha sido inadequado. Resolva a limitação apontada antes de descartar o achado ou afirmar que o problema foi reproduzido.
E se a varredura não apontar nenhum achado?
Confirme que a varredura foi concluída e que analisou o repositório e a revisão pretendidos. Verifique se o relatório registra limitações ou etapas inacabadas. Mesmo uma varredura sem achados pode deixar de identificar vulnerabilidades.
Correções
O Codex Security aplica patches automaticamente?
A ação depende do achado. Ao selecionar Corrigir com o Codex em um achado do repositório, você inicia uma conversa em que pede ao Codex para verificar o problema, implementar uma correção e executar os testes pertinentes. Revise as alterações nessa conversa.
Se o achado tiver um patch sugerido, revise o diff antes de selecionar Criar rascunho de pull request. Criar o rascunho não integra a correção ao código.
Como saber se um patch corrigiu o problema?
Revise as evidências de validação do patch. Verifique se ainda é possível reproduzir o problema original e se o sistema continua funcionando como esperado nos casos de uso legítimos. Se a validação não foi concluída, mantenha essa incerteza registrada no achado. A proposta de um patch, o rascunho de um pull request ou uma mudança de status, por si só, não comprova que o problema foi corrigido.