Perguntas frequentes sobre o Codex Security Cloud

Estas respostas aplicam-se ao Codex Security Cloud. Para a instalação e a primeira análise, utilize o guia de configuração na nuvem. As análises locais têm guias separados para o plugin e a CLI.

Faturação

Como são faturadas as análises na nuvem?

As análises de repositórios e as análises contínuas configuradas após 1 de outubro de 2026, às 12:53, hora do Pacífico, são faturadas com base na utilização de tokens, às tarifas do seu plano, em créditos ou USD, consoante o seu plano de faturação. Para contas elegíveis, os créditos gratuitos para análises são aplicados antes de ser faturada a utilização paga.

Esta utilização não está abrangida pela quota de utilização incluída no seu plano.

As análises contínuas configuradas antes desse limite são gratuitas até 21 de outubro de 2026. Depois disso, são faturadas às tarifas normais por token, de acordo com o plano de faturação da sua conta, se ativar a utilização paga. Caso contrário, ficam em pausa.

Tenho direito a um período de análises gratuitas ou a créditos gratuitos para análises?

O que recebe depende de a sua conta ter análises contínuas configuradas antes de 1 de outubro de 2026, às 12:53, hora do Pacífico:

• Se tinha, as análises contínuas abrangidas permanecem gratuitas até 21 de outubro de 2026. Este período gratuito não abrange análises de repositórios nem análises contínuas configuradas após 1 de outubro de 2026, às 12:53, hora do Pacífico.
• Se não tinha, as contas elegíveis recebem 500 USD em créditos gratuitos para análises em vez do período gratuito de análises contínuas.

Como funcionam os créditos gratuitos para análises?

As análises de repositórios e as análises contínuas utilizam o mesmo saldo gratuito. Num espaço de trabalho, todos partilham esse saldo. Estes créditos gratuitos para análises não expiram.

Quando o saldo gratuito se esgota, as análises seguintes são faturadas de acordo com o plano de faturação da sua conta ou do seu espaço de trabalho.

O que acontece quando termina o período gratuito de análises contínuas?

Selecione Manter as análises em execução e ative a utilização paga para continuar estas análises após o período gratuito. Passam então a ser faturadas às tarifas normais por token, de acordo com o plano de faturação da sua conta ou do seu espaço de trabalho.

Se optar por não continuar ou não ativar a utilização paga, essas análises ficam em pausa quando o período gratuito terminar. Selecione Reativar análises para ativar a utilização paga posteriormente. Num espaço de trabalho, peça a um proprietário do espaço de trabalho que faça esta escolha se não tiver permissão.

Onde posso consultar a utilização de tokens e os encargos?

Abra uma análise em Análises para consultar a utilização de tokens e o custo. Passe o cursor sobre a contagem de tokens para ver os tokens de entrada, de entrada em cache e de saída. A entrada em cache está incluída na contagem de entrada, não é somada a essa contagem.

A utilização mostra o custo antes da aplicação de créditos gratuitos para análises ou de isenções de faturação, bem como qualquer montante coberto por créditos gratuitos para análises.

As análises assinaladas com "Isento de faturação. Não se aplicam encargos." não geram encargos, mesmo quando apresentam utilização de tokens e custo.

Análise

É necessário compilar o projeto para efetuar a análise?

O Codex Security consegue analisar o código-fonte sem uma compilação bem-sucedida. A validação pode necessitar de dependências ou de uma compilação funcional para reproduzir um problema. Configure esses requisitos no ambiente de nuvem do Codex.

Se não for possível executar a validação, examine o que o problema detetado demonstra a partir do código-fonte e o que ainda depende do comportamento em execução ou na implementação.

Que linguagens são suportadas?

O Codex Security analisa código-fonte em várias linguagens. Os resultados dependem da capacidade do modelo para raciocinar sobre a linguagem e a framework, bem como do contexto disponível do repositório. Uma análise bem-sucedida não implica uma cobertura igual entre linguagens ou componentes. Consulte o relatório para conhecer o âmbito efetivamente revisto.

Qual é a diferença entre as análises de repositórios e a monitorização de commits?

Uma Análise única revê o repositório uma vez. A Análise contínua monitoriza novos commits e pode rever partes selecionadas do histórico de commits. Ative-a após a primeira análise através de Monitorizar novos commits.

Posso suspender a monitorização de commits?

Abra Repositórios, selecione o repositório e abra Definições de monitorização. Defina a monitorização como Em pausa e selecione Guardar. Pode voltar a ativá-la nas mesmas definições.

Posso editar o modelo de ameaças?

Sim. Atualize-o nas Definições de monitorização do repositório monitorizado quando a arquitetura, a implementação ou os pressupostos de segurança mudarem. O guia do modelo de ameaças explica o que incluir. As alterações aplicam-se às análises futuras.

Problemas detetados e validação

O que permite estabelecer a validação?

Leia as evidências anexadas à constatação em causa. A análise do código-fonte pode estabelecer um percurso de código vulnerável. As evidências de execução podem mostrar que um determinado procedimento de reprodução ou teste demonstrou o problema.

O estado e a gravidade registados de uma constatação ajudam a organizar a revisão. Utilize as evidências subjacentes e os pré-requisitos para decidir se se aplica ao seu sistema e o que deve corrigir.

O que acontece se a validação falhar?

Inspecione a tentativa de validação e quaisquer registos disponíveis. Um procedimento de reprodução que falhe pode significar que o problema não se aplica, mas também pode significar que o ambiente ou o teste não eram adequados. Resolva a lacuna indicada antes de descartar a constatação ou afirmar que o problema foi reproduzido.

E se a análise não comunicar constatações?

Confirme que a análise foi concluída e que reviu o repositório e a revisão pretendidos. Leia quaisquer limitações ou trabalhos inacabados registados. Uma análise que não comunique constatações pode, ainda assim, não detetar vulnerabilidades.

Correções

O Codex Security aplica patches automaticamente?

A ação depende da constatação. Corrigir com Codex numa constatação de um repositório inicia uma conversa que pede ao Codex para verificar o problema, implementar uma correção e executar os testes relevantes. Reveja as alterações nessa conversa.

Para uma constatação com um patch sugerido, reveja as diferenças antes de selecionar Criar pull request de rascunho. A criação do rascunho não integra a correção.

Como posso saber se um patch corrigiu o problema?

Reveja as evidências de validação do patch, incluindo se o problema original ainda pode ser reproduzido e se o comportamento legítimo continua a funcionar. Se a validação não tiver sido concluída, mantenha essa incerteza associada à constatação. Um patch proposto, um pull request de rascunho ou uma alteração de estado, por si só, não confirma uma correção.