Isso baixa o binário pré-compilado para a sua plataforma (Linux ou macOS, amd64/arm64) a partir da versão mais recente. Em seguida, execute o assistente de configuração interativo:```bash
xalgorix --setup

`--privileged` concede ao toolset o mesmo acesso ao host que ele tem quando executado nativamente como root. O sandbox padrão do Docker remove capacidades (como `NET_ADMIN`) e aplica um filtro seccomp, o que quebra ferramentas de baixo nível (alterações de iptables/route, ARP-spoof/MITM, VPNs tun/tap, depuradores baseados em ptrace, ajuste de interface do masscan). Como uma imagem não pode conceder isso a si mesma, essas permissões devem ser definidas em tempo de execução. O contêiner é um sandbox de varredura descartável e isolado de rede executando como root — privileged é a postura pretendida; nunca exponha o dashboard publicamente sem autenticação. Prefere privilégio mínimo? Troque `--privileged` por `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

Abra `http://localhost:9137`. Você **não precisa de uma chave de LLM para começar** — o dashboard inicia sem uma; defina o modelo + chave de API em **Settings → LLM** (persiste no volume `/data`). Se você não passar `XALGORIX_USERNAME`/`XALGORIX_PASSWORD`, uma senha de admin aleatória é gerada e impressa nos logs do contêiner na primeira execução.

**Mais fácil — Docker Compose** (mapeia a porta + um volume persistente para você):```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> Prefere configuração zero? Uma versão totalmente gerenciada roda em [www.xalgorix.com](https://www.xalgorix.com/) — clique para escanear, sem instalação ou chaves de API necessárias.

### 🤖 Revise pull requests automaticamente — GitHub App gratuito

Quer uma revisão de segurança em cada pull request com configuração zero? Instale o **[Xalgorix GitHub App](https://github.com/apps/xalgorix)**. Ele lê o diff de cada PR e comenta uma revisão de segurança — injeção, autenticação quebrada/IDOR, SSRF, segredos, padrões inseguros — diretamente no pull request. Atualiza no lugar em novos commits, e você pode comentar **`@xalgorix review`** para reexecutar sob demanda. Sem arquivo de workflow, sem chave de API, sem conta — e é gratuito.

<div align="center">

[**➕ Adicionar Xalgorix ao GitHub →**](https://github.com/apps/xalgorix/installations/new)

</div>

Para merge gating e pentests completos verificados por exploit em CI, use o [scanner hospedado](https://www.xalgorix.com/) ou a GitHub Action.

> [!IMPORTANT]
> Use o Xalgorix apenas em sistemas que você possui ou tem permissão explícita para testar.

> [!TIP]
> Prefere não auto-hospedar? Uma versão totalmente gerenciada está disponível em [www.xalgorix.com](https://www.xalgorix.com/) — clique para escanear, sem instalação ou chaves de API necessárias.

## 📚 Conteúdo

| | | |
| --- | --- | --- |
| 📸 [Capturas de tela](#-screenshots) | 🔩 [Configuração](#-configuration) | 🧾 [Variáveis de ambiente](#-environment-variables) |
| 🚀 [Início rápido](#-quick-start) | 🆙 [Atualização](#-upgrading-from-previous-versions) | 🔤 [Prefixos de provedor](#-provider-prefixes) |
| 🔎 [Visão geral](#-overview) | 🏃 [Execução](#-running) | 💻 [Referência da CLI](#-cli-reference) |
| 💡 [Por que Xalgorix](#-why-xalgorix) | 🧰 [Modo de serviço](#-service-mode) | 📡 [Resumo da API](#-api-summary) |
| 🎯 [Casos de uso](#-use-cases) | 🔁 [Fluxo de trabalho da Web UI](#-web-ui-workflow) | 💾 [Armazenamento de dados](#-data-storage) |
| ✨ [Recursos](#-features) | 🔀 [Modos de varredura](#-scan-modes) | 🧪 [Desenvolvimento](#-development) |
| 📥 [Instalação](#-installation) | 📂 [Escaneie seu código](#-scan-your-code-no-target-needed) | 🚨 [Notas de segurança](#-safety-notes) |
| 🧭 [Metodologia](#-methodology) | 📄 [Relatórios](#-reports) | 📜 [Licença](#-license) |
| 🔧 [Configurações](#-settings) | 🔗 [Links](#-links) | 🤝 [Patrocinadores](#-sponsors) |

## 🔎 Visão geral

Xalgorix é uma plataforma de teste de penetração com IA auto-hospedada para testes de segurança autorizados, avaliação de vulnerabilidades e fluxos de trabalho de bug bounty. Ela combina um agente autônomo orientado por LLM, automação de navegador, ferramentas de terminal, uma metodologia abrangente de testes em 22 fases, telemetria WebSocket ao vivo, gerenciamento de descobertas com pontuação CVSS, geração de relatórios PDF personalizados e integrações para AgentMail, Discord e Telegram.

Diferente de scanners DAST apenas em nuvem, o Xalgorix roda inteiramente na sua máquina. Você traz seu próprio provedor de LLM (OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama, MiniMax) e controla o modelo, esforço de raciocínio, limites de taxa e configuração de proxy. Nenhum dado de varredura, chave de API ou informação de alvo sai da sua infraestrutura.

A experiência padrão é a Web UI. A partir de um único painel local você pode iniciar varreduras, monitorar execuções ativas, inspecionar descobertas, configurar ajustes de modelo/provedor, gerenciar variáveis de ambiente, gerar relatórios PDF personalizados e excluir ou retomar varreduras históricas.

## 💡 Por que Xalgorix

A maioria dos scanners **detecta**. Xalgorix **prova**. Um agente autônomo trabalha através de uma metodologia de 22 fases, então um verificador independente retesta cada descoberta candidata antes de ser reportada — assim você obtém resultados verificados por exploit com evidências, não uma parede de "talvez" para triagem.

- 🧠 **Um agente de IA, não um motor de templates** — raciocina sobre fluxos de autenticação, lógica de negócios, IDOR/BOLA e exploits encadeados que scanners de assinatura perdem.
- ✅ **Descobertas verificadas por exploit** — um verificador separado reproduz independentemente cada descoberta; as inconclusivas são sinalizadas para revisão, nunca disfarçadas como confirmadas.
- 🔒 **Auto-hospedado e privado** — roda na sua máquina com sua própria chave de LLM; nenhum dado de alvo, chave ou descoberta sai da sua infraestrutura.
- 🧩 **Traga seu próprio LLM** — OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama ou MiniMax — ou qualquer gateway compatível com OpenAI como [LiteLLM](#-litellm--openai-compatible-gateways-github-copilot-claude-opus-codex-openrouter-azure-local-models) (GitHub Copilot, Codex, OpenRouter, Azure). Você controla modelo, esforço de raciocínio e custo.
- 📄 **Relatórios prontos para auditoria** — PDFs personalizados com pontuações CVSS, prova de conceito e remediação.

### 📊 Como se compara

|                                              | **Xalgorix**             | Scanners de template (ex.: Nuclei) | Scanners de crawling (ex.: OWASP ZAP) | DAST comercial        |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------- | ---------------------- |
| Abordagem                                     | Agente de IA autônomo      | Assinaturas / templates          | Spider + regras ativas              | Assinaturas + heurísticas |
| Cobertura de lógica de negócios / IDOR / bypass de autenticação | ✅                       | Limitada                         | Limitada                            | Parcial                |
| Verificado por exploit (prova o impacto)             | ✅ verificador independente  | ❌                              | ❌                                 | Parcial                |
| Carga de falsos positivos                          | Baixa (provado)             | Dependente de template              | Alta                               | Média                 |
| Auto-hospedado / dados permanecem locais               | ✅                       | ✅                              | ✅                                 | Geralmente nuvem          |
| Traga seu próprio LLM                           | ✅                       | —                               | —                                  | ❌                     |
| Relatórios PDF personalizados                          | ✅                       | ❌                              | Básico                              | ✅                     |
| Custo                                         | Código aberto + seu LLM   | Gratuito                            | Gratuito                               | $$$                    |

> Comparação direcional — Nuclei e ZAP são excelentes no que fazem. Xalgorix adiciona a camada de descoberta com raciocínio pesado e verificação de exploit por cima.

### ☁️ Auto-hospedado vs Nuvem hospedada

Xalgorix é gratuito e de código aberto — auto-hospede para sempre, sem compromissos. A [nuvem hospedada](https://www.xalgorix.com/) roda o **mesmo** motor verificado por exploit; ela existe para pessoas que preferem não gerenciar chaves de API, infraestrutura e contas imprevisíveis de LLM. Ambos são de primeira classe — escolha o que se encaixa.

|                                    | **Auto-hospedado** (este repositório)              | **[Nuvem hospedada](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ----------------------------------------------- |
| Preço para começar                     | Motor gratuito, Apache-2.0                  | Conta gratuita · avaliação única de $1           |
| Chave de API do LLM                        | Traga e gerencie a sua                  | Incluída — nada para gerenciar                      |
| Custo por varredura                      | Tokens brutos de LLM — variável, pode disparar     | 1 crédito por host ativo — previsível            |
| Configuração e operações                        | Você instala, atualiza e executa o toolchain  | Nada para executar — varredura em ~60s                   |
| Infraestrutura out-of-band (SSRF/blind RCE) | Monte seu próprio servidor OOB             | OOB gerenciado incluído                            |
| Agendamento                         | Agendador integrado na sua infraestrutura | Agendamentos diários / por hora gerenciados             |
| Equipe · RBAC · créditos compartilhados        | Instância de operador único                 | Workspaces de organização no Team                 |
| Atualizações                            | `git pull` + rebuild                     | Sempre no motor mais recente                     |
| Residência de dados / offline           | ✅ permanece na sua infra · air-gap OK       | Roda na nossa infra (DPA disponível)               |

**Auto-hospede se** os dados devem permanecer na sua rede, você quer controle total, ou vai rodar offline/air-gapped — é exatamente para isso que serve. **Use a nuvem se** você prefere pular as chaves de API, infraestrutura e contas surpresa de tokens, e pagar apenas pelos hosts ativos que você realmente escaneia.

<div align="center">

[**☁️ Avalie a Nuvem hospedada — teste de $1 →**](https://www.xalgorix.com/pricing) &nbsp;·&nbsp; [**⚖️ Compare Nuvem e auto-hospedagem →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Se o Xalgorix economiza um ciclo de triagem para você, por favor **[⭐ dê uma estrela ao repositório](https://github.com/xalgorix/xalgorix)** — isso genuinamente ajuda outros a encontrá-lo.

## 🎯 Casos de uso

| Caso de uso | Como o Xalgorix ajuda |
| -------- | ------------------ |
| **Teste de penetração** | Execute uma metodologia completa de 22 fases contra alvos autorizados. O agente de IA cuida de reconhecimento, descoberta de vulnerabilidades, testes de injeção, SSRF, IDOR, bypass de autenticação, condições de corrida e mais — depois verifica as descobertas antes de reportar. |
| **Caça a bug bounty** | Aponte o Xalgorix para um alvo no escopo e deixe o agente enumerar a superfície de ataque, testar classes comuns de vulnerabilidade e revelar descobertas verificadas com pontuações CVSS e evidências de prova de conceito. |
| **Operações de red team** | Use modos de varredura wildcard e multi-alvo para mapear a superfície de ataque externa de uma organização. DAST assistido por navegador lida com fluxos de autenticação, formulários e comportamento em tempo de execução que scanners estáticos perdem. |
| **Pesquisa de segurança** | A fase de descoberta de vulnerabilidades inéditas leva o agente além da correspondência de templates conhecidos. Traga seu próprio LLM (OpenAI, Anthropic, DeepSeek, Gemini, Ollama, MiniMax) para controlar profundidade de raciocínio e custo. |
| **Teste de segurança contínuo** | Execute como um serviço de sistema com `xalgorix --start`. Escaneie em um agendamento, transmita descobertas para Discord ou Telegram e gere relatórios PDF personalizados para stakeholders. |
| **Automação de DAST** | Testes orientados por navegador para aplicações web — fluxos de autenticação, formulários, conteúdo renderizado por JavaScript e comportamento em tempo de execução. Integra-se com Caido para inspeção de tráfego de proxy. |

## ✨ Recursos

| Área           | Capacidades                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 Dashboard      | Web UI local em `127.0.0.1:9137` por padrão, gerenciamento de varreduras, status ao vivo, ações de varredura em massa e recuperação de varreduras históricas. |
| 🔍 Varredura       | Fluxos de alvo único, DAST, wildcard e multi-alvo com fases de metodologia selecionáveis.                                   |
| 📡 Telemetria ao vivo | Chamadas de ferramentas, mensagens do agente, descobertas, erros, atividade HTTP e atividade de LLM via WebSockets.                              |
| 🐞 Descobertas       | Páginas de detalhes de varredura, filtros de severidade, detalhes de CVSS, índice de descobertas e fluxos de trabalho de descobertas verificadas.                           |
| 📄 Relatórios      | Relatórios PDF personalizados com nome do alvo/empresa, logo enviado, lista de relatórios, ações de abrir/baixar/excluir.                     |
| 🔔 Integrações   | Caixas de entrada de teste do AgentMail, e-mails de verificação, fluxos de OTP, eventos de triagem de e-mail, notificações do Discord e Telegram.            |
| ⚙️ Configuração  | Configurações do dashboard para LLM, AgentMail, Discord, Telegram, proxy, runtime, navegador, autenticação, limites de taxa e recursos.       |
| 🛡️ Segurança em tempo de execução | Limites de instância cientes de recursos e vinculação apenas em loopback, a menos que o acesso externo seja explicitamente configurado com autenticação.         |

## 📥 Instalação

Os caminhos mais rápidos não precisam de toolchain algum.

### ⚡ Instalação em uma linha (binário pré-compilado)```bash
curl -sSL https://www.xalgorix.com/install | bash

O assistente preserva as configurações existentes quando executado novamente, oculta a entrada da chave de API num terminal e, opcionalmente, inicia a Interface Web quando termina.

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 Compilar a Partir do Código-Fonte```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 Configuração

O Xalgorix carrega a configuração nesta ordem. Fontes posteriores substituem as anteriores.

| Ordem | Fonte                                                          |
| ----- | -------------------------------------------------------------- |
| 1     | `/etc/xalgorix.env`                                            |
| 2     | `/home/<sudo-user>/.xalgorix.env` quando iniciado via `sudo`   |
| 3     | `~/.xalgorix.env`                                              |
| 4     | Variáveis de ambiente já presentes no processo                 |

Crie o arquivo de ambiente local:```bash
nano ~/.xalgorix.env

### 🔌 Exemplos de Provedores

OpenAI:```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 Gateways compatíveis com LiteLLM / OpenAI (GitHub Copilot, Claude Opus, Codex, OpenRouter, Azure, modelos locais)

Como `XALGORIX_API_BASE` aceita qualquer endpoint `/v1/chat/completions` compatível com OpenAI,
o Xalgorix funciona com um proxy [LiteLLM](https://docs.litellm.ai/) imediatamente — sem
necessidade de alterações no lado do Xalgorix. O LiteLLM trata da autenticação do provedor upstream (login de dispositivo do Copilot,
chaves do Azure, OpenRouter, Ollama, etc.); o Xalgorix apenas fala OpenAI com o gateway.

Execute o LiteLLM (exemplo de `config.yaml`):```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

O mesmo padrão abrange GitHub Copilot Business/CLI, Claude Opus, modelos no estilo Codex,
OpenRouter, Azure OpenAI e modelos Ollama locais — qualquer coisa que o LiteLLM consiga rotear. Mantenha o
prefixo `custom/` (ou `openai/`) e um `XALGORIX_API_BASE` não-Anthropic/Gemini para que o Xalgorix
use o formato de requisição OpenAI padrão que o LiteLLM espera.

### 🔔 Integrações Opcionais```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> Prefira `XALGORIX_PASSWORD_HASH` para implantações em produção.

## 🆙 Atualizando de versões anteriores

Esta versão traz uma passagem de estabilidade e isolamento de workspace com uma mudança disruptiva e alguns novos ajustes que vale a pena conhecer.

### 💥 Mudança disruptiva: workspace padrão movido para `~/.xalgorix/data/`

A saída de varredura, notas, agendamentos e outros artefatos gerados agora residem em `~/.xalgorix/data/` em vez de `$CWD` (o diretório a partir do qual o binário foi iniciado).

Para manter o comportamento anterior, aponte `XALGORIX_DATA_DIR` para o seu diretório de trabalho atual:```bash
export XALGORIX_DATA_DIR=$(pwd)

Abrir:```text
http://127.0.0.1:9137

### 🌐 Acesso Externo

Vincule a outra interface somente após habilitar a autenticação do dashboard:```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

Com instruções personalizadas:```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Gerenciar o serviço:```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 Acesso Remoto ao Serviço

Exponha o serviço a navegadores remotos somente após habilitar a autenticação do dashboard:```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

O próprio listener do dashboard é **sempre** protegido, mesmo com isto ativado.

> **⚠️ Implementações partilhadas / multi-inquilino / alojadas: mantenha isto DESLIGADO.** Ativá-lo
> permitiria que o scan de um utilizador alcançasse a própria máquina do operador e a rede interna.
> Está desligado por predefinição, por isso não é necessária qualquer ação para se manter seguro — não defina
> `XALGORIX_ALLOW_LOCAL_TARGETS` (nem fixe `XALGORIX_ALLOW_LOCAL_TARGETS=false`),
> e não exponha a página Settings do motor a utilizadores não confiáveis.

## 🔁 Fluxo de Trabalho da Web UI

1. Abra o dashboard em `http://127.0.0.1:9137`.
2. Vá a Settings e confirme o fornecedor de LLM, a chave de API, os limites de taxa e as integrações opcionais.
3. Crie um scan a partir de New Scan.
4. Escolha um modo de scan.
5. Selecione as fases da metodologia quando quiser uma execução focada.
6. Defina filtros de severidade quando apenas certas severidades devem ser reportadas em tempo real. O filtro afeta apenas o feed do dashboard em tempo real e as notificações; o relatório PDF e `/api/findings` incluem sempre todas as vulnerabilidades que o agente descobriu.
7. Adicione o nome da empresa e carregue um logótipo para relatórios com marca.
8. Monitorize o progresso a partir de Overview, Scan Detail ou Live Feed.
9. Abra os detalhes dos achados, descarregue relatórios ou faça a gestão de scans históricos a partir de Scans e Reports.

## 🔀 Modos de Scan

| Modo             | Melhor para                                                                        |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 Alvo único    | Testar um URL ou host conhecido.                                                  |
| 🌐 Wildcard / multi | Enumerar alvos relacionados e fazer scan da superfície de ataque descoberta.         |
| 🧭 DAST             | Testes assistidos por browser para aplicações web, fluxos de autenticação, formulários e comportamento em runtime. |

## 📂 Faça Scan ao Seu Código (sem alvo necessário)

Aponte o Xalgorix a uma base de código — um URL Git, um caminho local ou um zip carregado — e
ele faz scan diretamente ao código-fonte. Sem URL implementado, sem infraestrutura para levantar.```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

O servidor mantém registros históricos de varredura em disco para que a UI possa se recuperar após atualização ou reinicialização.

## 🧪 Desenvolvimento

| Tarefa                        | Comando                       |
| --------------------------- | ----------------------------- |
| 📦 Instalar dependências da Web UI | `make webui-install`          |
| 🔨 Compilar tudo            | `make build`                  |
| ✅ Executar testes                   | `go test ./...`               |
| 🖥️ Executar Web UI a partir do código-fonte      | `go run ./cmd/xalgorix --web` |
| ⚡ Executar servidor de desenvolvimento do frontend     | `make webui-dev`              |

## 🚨 Notas de Segurança

- Use o Xalgorix apenas contra alvos autorizados.
- Não execute testes ativos contra sistemas de terceiros sem permissão.
- Revise as instruções de varredura antes de iniciar.
- Configure limites de taxa e configurações de proxy para corresponder às regras do engajamento.
- Expor o dashboard externamente requer autenticação.
- A instalação automática está desabilitada por padrão para usuários não-root e deve ser habilitada apenas quando você confiar no ambiente.

## 📜 Licença

Xalgorix é distribuído sob a Apache License 2.0. Consulte [LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE).

## 🔗 Links

| Recurso      | Link                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ Hospedado (Cloud) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 Documentação | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 Issues        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ Suporte       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |