Seu sistema está pronto para produção?
Os mesmos 13 pontos da verificação completa, em forma de lista que você mesmo responde. Sem cadastro, sem varredura, nada para instalar. Em cada ponto, marque se verificou de fato ou se está supondo. Se não souber responder, marque "Não sei": a resposta conta como ponto em aberto e já diz muito sobre o estado do sistema.
Isolamento entre clientes
Alguém consegue ver dados que pertencem a outro cliente, por qualquer tela, relatório ou exportação?
Abra duas contas. Logado como A, troque IDs nas URLs e chamadas de API pelos registros de B. Voltou alguma coisa? Essa é a falha que mata contrato B2B.
Autorização por objeto
Se um usuário trocar o número de um registro no endereço da página, o sistema impede que ele abra o registro de outra pessoa?
Pegue qualquer ID da aba de rede (fatura, documento, usuário) e peça logado como outro usuário. Isso é BOLA, o primeiro item da lista de riscos de API da OWASP.
Chaves e segredos expostos
Alguma senha de serviço (banco de dados, pagamento, e-mail) fica visível para quem abre o código da página?
Ver código-fonte e buscar 'key'. A chave pública anon é normal; uma service-role key no navegador significa banco inteiro público.
Autenticação e sessão
Ao sair do sistema, o acesso é encerrado de verdade, e o link de troca de senha deixa de funcionar depois de usado?
Deslogue, volte, repita uma requisição antiga. Reuse um link de reset duas vezes. Os dois têm que falhar.
Autenticação em dois fatores
Os usuários, ou pelo menos os administradores, podem ativar a confirmação em duas etapas no login?
Se a resposta é 'não construí', é um 'não'. Questionário de segurança de comprador sério pergunta isso na página um.
Papéis e permissões
Se um usuário comum tentar uma ação de administrador por um caminho direto, sem usar o botão, o sistema bloqueia?
Esconder o botão não é autorização. Chame o endpoint em si com um usuário de permissão baixa.
Integridade do banco e migrations
Toda mudança na estrutura do banco de dados fica registrada e versionada, em vez de ser feita à mão direto num painel?
Se o histórico do seu schema mora na memória ou num dashboard, você não consegue reconstruir o banco, e não sobrevive ao primeiro deploy ruim.
Backup e recuperação
Existe backup automático, e você já restaurou um pelo menos uma vez?
Backup que nunca foi restaurado é esperança, não backup. O número que importa é o tempo de restauração.
Rate limit e abuso
Um programa automático consegue tentar entrar no sistema mil vezes por minuto sem ser barrado?
Se consegue, sua conta da OpenAI e seu uptime pertencem a quem achar você primeiro.
LGPD / GDPR
Se um usuário exigir a exclusão dos dados dele, você consegue apagar em todo lugar: banco, backups, logs, terceiros?
Dado pessoal de usuário brasileiro ou europeu torna isso lei, não preferência. 'A gente daria um jeito' é um 'não'.
Comportamento sob carga
Você sabe, por medição, quantas pessoas o sistema aguenta usando ao mesmo tempo?
Não é chute, é número de teste de carga. O nosso saiu de 11% de sucesso para 100% porque medimos primeiro.
Observabilidade e log de auditoria
Quando algo quebra, você descobre pelo monitoramento ou por um cliente bravo?
Rastreio de erro, alerta de uptime e log de quem fez o quê e quando. Sem isso, todo incidente vira arqueologia.
Pipeline de deploy
As atualizações passam por testes antes de chegar ao ar, e uma atualização com problema pode ser desfeita em minutos?
Se o deploy é 'sobe e reza', a pergunta não é SE quebra produção, é quando.