Pular para conteúdo

Código-Fonte — Configuração

Este guia mostra passo a passo como configurar e executar um assessment de código-fonte. Ao final, você terá uma análise completa de segurança, qualidade e conformidade do repositório.

Passo 1 — Selecione o provedor Git

  1. Na sidebar, clique em Novo Assessment.
  2. Clique no card Código-Fonte.
  3. Selecione o provedor Git:

Clique no card GitHub.

Configuração Código-Fonte
Formulário de configuração de análise de código-fonte

Clique no card GitLab.

Clique no card Bitbucket.

Passo 2 — Crie e configure o PAT (Personal Access Token)

O Personal Access Token (PAT) permite que a plataforma clone o repositório de forma segura.

GitHub PAT

Criar o token:

  1. Acesse github.com/settings/tokens.
  2. Clique em Generate new token → Generate new token (classic).
  3. Preencha:
  4. Note: ElvenAssessment
  5. Expiration: 90 days (recomendado)
  6. Em Scopes, marque:
  7. repo — acesso a repositórios privados (inclui repo:status, repo:deployment, public_repo)
  8. read:org — se quiser avaliar repositórios de organizações

Fine-grained token (mais seguro)

Para repositório específico, use um Fine-grained token em vez do token clássico: 1. Acesse Settings → Developer settings → Personal access tokens → Fine-grained tokens. 2. Selecione o repositório específico em Repository access. 3. Em Permissions, conceda Contents: Read-only e Metadata: Read-only.

  1. Clique em Generate token e copie o token gerado.

Salve o token agora

O GitHub exibe o token apenas uma vez. Copie antes de fechar a página.

GitLab PAT

Criar o token:

  1. Acesse o GitLab e vá em User Settings → Access Tokens (canto superior direito → Preferences → Access Tokens).
  2. Preencha:
  3. Token name: ElvenAssessment
  4. Expiration date: defina uma data (ex.: 90 dias)
  5. Em Scopes, marque:
  6. read_repository — clonar repositórios

  7. read_api — acessar metadados via API (branches, projetos)

  8. Clique em Create personal access token e copie o token.

Project Access Token

Para limitar o acesso a um único projeto no GitLab: 1. Acesse o projeto → Settings → Access Tokens. 2. Crie com read_repository + read_api. Isso é mais seguro que um PAT pessoal pois o acesso fica restrito a um projeto.

Bitbucket App Password

O Bitbucket usa App Passwords em vez de tokens tradicionais.

Criar o App Password:

  1. Clique no seu avatar → Personal settings → App passwords.
  2. Clique em Create app password.
  3. Preencha:
  4. Label: ElvenAssessment
  5. Em Permissions, marque:
  6. Repositories: Read — clonar e ler conteúdo
  7. Account: Read — metadados da conta
  8. Clique em Create e copie a senha gerada.

Formato das credenciais Bitbucket

No Bitbucket, você precisa do username (seu nome de usuário Bitbucket, não o e-mail) e do App Password. A plataforma solicitará ambos.

Passo 3 — Informe o repositório e a branch

3.1 — Cole o token no campo correspondente na plataforma.

3.2 — URL do repositório: informe a URL HTTPS do repositório (não SSH):

# GitHub
https://github.com/minhaorg/meu-repositorio

# GitLab
https://gitlab.com/minhaorg/meu-repositorio

# Bitbucket
https://bitbucket.org/minhaorg/meu-repositorio

3.3 — Branch: selecione a branch a ser analisada (padrão: main ou master — detectado automaticamente).

Qual branch analisar?

Para um assessment de segurança/conformidade, recomendamos analisar a branch main (produção). Para análise de qualidade durante o desenvolvimento, analyze a branch da feature ou PR específico.

3.4 — Sub-caminho (opcional): Se o repositório for um monorepo e você quiser analisar apenas um serviço específico, informe o caminho relativo: 

services/api-gateway
apps/backend

Configuração Código-Fonte
Formulário de configuração de análise de código-fonte

Passo 4 — Questionário de Performance e Resiliência

A plataforma usa um modelo de 3 camadas para avaliar Performance e Resiliência:

Camada Como funciona
1. Análise estática Detecta automaticamente padrões no código (ex.: ausência de timeout em chamadas HTTP, N+1 queries)
2. Questionário Pergunta sobre práticas que não são detectáveis no código (ex.: "há SLO definido e monitorado?")
3. Cross-check Compara as respostas do questionário com o que foi encontrado no código — alerta se houver contradição

Após informar o repositório, você verá uma série de perguntas sobre o pilar Performance/Resiliência:

Exemplos de perguntas:

  • "O serviço possui circuit breaker implementado para chamadas a serviços externos?"
  • "Existe retry com backoff exponencial nas integrações críticas?"
  • "O serviço define e respeita timeouts em todas as chamadas HTTP e de banco de dados?"
  • "Há SLO (Service Level Objective) definido e monitorado para este serviço?"

Para cada pergunta, selecione Sim, Não ou Parcialmente, e opcionalmente adicione uma observação.

Pule o questionário de P/R

Se não tiver as informações em mãos, clique em Pular para iniciar o assessment sem responder. Você pode responder depois, mas o score de Performance/Resiliência ficará incompleto até lá.

Passo 5 — Inicie o assessment

  1. Revise as configurações no resumo exibido.
  2. Dê um nome ao assessment (ex.: API Backend - main - Mai/2026).
  3. Clique em Iniciar Assessment.

A plataforma:

  1. Valida o token e acessa o repositório
  2. Clona o repositório em um sandbox isolado
  3. Detecta linguagens e ativa os scanners correspondentes
  4. Executa os 28 scanners em paralelo
  5. Consolida os resultados e calcula o score por pilar

Tempo de execução

Um repositório de tamanho médio (100k–500k linhas) leva entre 3 e 10 minutos. Repositórios grandes (>1M linhas) podem levar até 30 minutos.

Opções avançadas

AI Insights (opt-in explícito)

No formulário de assessment, há um toggle Habilitar AI Insights. Quando ativado:

  • A narrativa executiva é gerada pelo Claude após a análise técnica
  • Requer que a ANTHROPIC_API_KEY esteja configurada na plataforma (ou que o administrador tenha configurado a platform key)

Padrão OFF

Diferente dos assessments de nuvem, a IA é desativada por padrão para código-fonte. Você precisa habilitá-la explicitamente em cada assessment.

Regras Semgrep customizadas

A plataforma inclui um conjunto de regras Semgrep predefinidas pela Elven Works. Para adicionar regras customizadas da sua organização, consulte o administrador sobre como configurar o embed de regras personalizadas na instalação da plataforma.