# Como verificamos

O Lockpick lê o que qualquer pessoa online pode ver sobre o seu site, dentro de limites fixos, e relata apenas o que viu.

O Lockpick verifica o seu site de fora, do jeito que um estranho ou um atacante o encontraria. Cada verificação lê o que o seu site já mostra ao público, mais os registros públicos sobre o seu domínio, e mais nada.

## Dentro de limites fixos

Cada tipo de verificação tem um orçamento fixo que não pode ser ultrapassado.

|  | Pulse | Deep |
| --- | --- | --- |
| Em palavras simples | Uma análise rápida de fora, do jeito que um estranho ou um bot enxerga o seu site | Uma análise cuidadosa do seu site, do jeito que um atacante determinado faria |
| O que analisamos | A página inicial e os arquivos que ela carrega, as configurações de remetente de e-mail (SPF e DMARC), os cabeçalhos de segurança e o TLS, e os registros públicos de DNS, certificado e subdomínios, em no máximo 10 requisições. | Até 30 páginas legíveis e 20 scripts, arquivos que não deveriam ser públicos, áreas administrativas e a sua API, se você tiver uma. Se o seu site monta as páginas no navegador, o relatório informa quanto o Deep conseguiu ler. |
| Quanto tempo leva | Geralmente menos de 15 segundos | De 2 a 8 minutos |
| Precisa de prova de propriedade | Não, só confirme que você tem permissão | Sim, um registro de DNS, uma meta tag ou um arquivo, mantido publicado |

* Um Pulse envia no máximo 10 requisições ao seu site, e uma verificação Deep no máximo 200.
* As requisições são espaçadas, e a verificação para cedo se o seu site ficar lento, falhar ou recusar.
* Ler registros de DNS, logs de certificados e o registro do domínio nunca toca o seu site.

## Apenas o que vimos

Um achado só é relatado com a prova que o mostra. Um relatório diz o que cada parte da verificação conseguiu ler, e tudo o que não conseguiu verificar é marcado como não verificado, nunca como aprovado. [Como classificamos os achados](/pt-BR/security/how-we-rate-findings) explica a gravidade, o que um achado confirmado precisa mostrar e o que verificar de novo pode comprovar.

## Primeiro a sua permissão

Cada verificação começa com a sua confirmação de que você é o dono do site ou de que tem permissão para testá-lo. Uma verificação Deep também precisa de [prova de propriedade](/pt-BR/protect/prove-you-own-your-site) e da sua aprovação a cada vez.