Isto descarrega o binário pré-compilado para a sua plataforma (Linux ou macOS, amd64/arm64) a partir da versão mais recente. Em seguida, execute o assistente de configuração interativo:```bash
xalgorix --setup

`--privileged` dá ao conjunto de ferramentas o mesmo acesso semelhante ao do host que ele tem quando executado nativamente como root. O sandbox padrão do Docker remove capacidades (como `NET_ADMIN`) e aplica um filtro seccomp, o que quebra ferramentas de baixo nível (iptables/alterações de rota, ARP-spoof/MITM, VPNs tun/tap, depuradores baseados em ptrace, ajuste de interface do masscan). Como uma imagem não pode conceder essas capacidades a si mesma, elas devem ser definidas no momento da execução. O contêiner é um sandbox de varredura descartável e isolado em rede, executando como root — privilegiado é a postura pretendida; nunca exponha o painel publicamente sem autenticação. Prefere privilégio mínimo? Troque `--privileged` por `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

Abra `http://localhost:9137`. Você **não precisa de uma chave de LLM para começar** — o painel inicia sem uma; defina o modelo + chave de API em **Configurações → LLM** (isso persiste no volume `/data`). Se você não passar `XALGORIX_USERNAME`/`XALGORIX_PASSWORD`, uma senha de administrador aleatória é gerada e impressa nos logs do contêiner na primeira execução.

**Mais fácil — Docker Compose** (mapeia a porta + um volume persistente para você):```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> Prefere zero configuração? Uma versão totalmente gerenciada roda em [www.xalgorix.com](https://www.xalgorix.com/) — clique para escanear, sem instalação ou chaves de API necessárias.

### 🤖 Revise pull requests automaticamente — GitHub App gratuito

Quer uma revisão de segurança em cada pull request com zero configuração? Instale o **[Xalgorix GitHub App](https://github.com/apps/xalgorix)**. Ele lê o diff de cada PR e comenta uma revisão de segurança — injeção, auth/IDOR quebrado, SSRF, segredos, padrões inseguros — direto no pull request. Atualiza no lugar em novos commits, e você pode comentar **`@xalgorix review`** para reexecutar sob demanda. Sem arquivo de workflow, sem chave de API, sem conta — e é gratuito.

<div align="center">

[**➕ Adicionar Xalgorix ao GitHub →**](https://github.com/apps/xalgorix/installations/new)

</div>

Para controle de merge e pentests completos com exploração verificada em CI, use o [scanner hospedado](https://www.xalgorix.com/) ou a GitHub Action.

> [!IMPORTANT]
> Use o Xalgorix apenas em sistemas que você possui ou para os quais tem permissão explícita de teste.

> [!TIP]
> Prefere não fazer self-hosting? Uma versão totalmente gerenciada está disponível em [www.xalgorix.com](https://www.xalgorix.com/) — clique para escanear, sem instalação ou chaves de API necessárias.

## 📚 Conteúdo

| | | |
| --- | --- | --- |
| 📸 [Capturas de tela](#-capturas-de-tela) | 🔩 [Configuração](#-configuração) | 🧾 [Variáveis de Ambiente](#-variáveis-de-ambiente) |
| 🚀 [Início Rápido](#-início-rápido) | 🆙 [Atualização](#-atualização-de-versões-anteriores) | 🔤 [Prefixos de Provedores](#-prefixos-de-provedores) |
| 🔎 [Visão Geral](#-visão-geral) | 🏃 [Execução](#-execução) | 💻 [Referência da CLI](#-referência-da-cli) |
| 💡 [Por que Xalgorix](#-por-que-xalgorix) | 🧰 [Modo de Serviço](#-modo-de-serviço) | 📡 [Resumo da API](#-resumo-da-api) |
| 🎯 [Casos de Uso](#-casos-de-uso) | 🔁 [Fluxo da Web UI](#-fluxo-da-web-ui) | 💾 [Armazenamento de Dados](#-armazenamento-de-dados) |
| ✨ [Recursos](#-recursos) | 🔀 [Modos de Escaneamento](#-modos-de-escaneamento) | 🧪 [Desenvolvimento](#-desenvolvimento) |
| 📥 [Instalação](#-instalação) | 📂 [Escaneie Seu Código](#-escaneie-seu-código-sem-alvo-necessário) | 🚨 [Notas de Segurança](#-notas-de-segurança) |
| 🧭 [Metodologia](#-metodologia) | 📄 [Relatórios](#-relatórios) | 📜 [Licença](#-licença) |
| 🔧 [Configurações](#-configurações) | 🔗 [Links](#-links) | |

## 🔎 Visão Geral

Xalgorix é uma plataforma de pentest de IA auto-hospedada para testes de segurança autorizados, avaliação de vulnerabilidades e fluxos de bug bounty. Ela combina um agente autônomo orientado por LLM, automação de navegador, ferramentas de terminal, uma metodologia abrangente de testes em 22 fases, telemetria WebSocket ao vivo, gerenciamento de achados com pontuação CVSS, geração de relatórios PDF com marca, e integrações para AgentMail, Discord e Telegram.

Diferente de scanners DAST somente em nuvem, o Xalgorix roda inteiramente na sua máquina. Você traz seu próprio provedor de LLM (OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama, MiniMax) e controla o modelo, o esforço de raciocínio, os limites de taxa e a configuração de proxy. Nenhum dado de escaneamento, chave de API ou informação de alvo sai da sua infraestrutura.

A experiência padrão é a Web UI. De um único painel local você pode iniciar escaneamentos, monitorar execuções ativas, inspecionar achados, configurar definições de modelo/provedor, gerenciar variáveis de ambiente, gerar relatórios PDF com marca e excluir ou retomar escaneamentos históricos.

## 💡 Por que Xalgorix

A maioria dos scanners **detecta**. O Xalgorix **prova**. Um agente autônomo trabalha através de uma metodologia de 22 fases, e então um verificador independente re-testa cada achado candidato antes de ser relatado — então você obtém resultados com exploração verificada e evidências, não uma parede de "talvez" para triar.

- 🧠 **Um agente de IA, não um mecanismo de templates** — raciocina sobre fluxos de autenticação, lógica de negócios, IDOR/BOLA e explorações encadeadas que scanners de assinatura não detectam.
- ✅ **Achados com exploração verificada** — um verificador separado reproduz independentemente cada achado; os inconclusivos são sinalizados para revisão, nunca apresentados como confirmados.
- 🔒 **Auto-hospedado e privado** — roda na sua máquina com sua própria chave de LLM; nenhum dado de alvo, chave ou achado sai da sua infraestrutura.
- 🧩 **Traga seu próprio LLM** — OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama ou MiniMax — ou qualquer gateway compatível com OpenAI como [LiteLLM](#-litellm--gateways-compatíveis-com-openai-github-copilot-claude-opus-codex-openrouter-azure-modelos-locais) (GitHub Copilot, Codex, OpenRouter, Azure). Você controla modelo, esforço de raciocínio e custo.
- 📄 **Relatórios prontos para auditoria** — PDFs com marca, pontuações CVSS, prova de conceito e remediação.

### 📊 Como se compara

|                                              | **Xalgorix**             | Scanners de templates (ex.: Nuclei) | Scanners de rastreamento (ex.: OWASP ZAP) | DAST comercial        |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------- | ---------------------- |
| Abordagem                                     | Agente de IA autônomo      | Assinaturas / templates          | Spider + regras ativas              | Assinaturas + heurísticas |
| Cobertura de lógica de negócios / IDOR / bypass de auth | ✅                       | Limitada                         | Limitada                            | Parcial                |
| Exploração verificada (prova o impacto)             | ✅ verificador independente  | ❌                              | ❌                                 | Parcial                |
| Carga de falsos positivos                          | Baixa (comprovada)             | Dependente de templates              | Alta                               | Média                 |
| Auto-hospedado / dados permanecem locais                       | ✅                       | ✅                              | ✅                                 | Geralmente em nuvem          |
| Traga seu próprio LLM                           | ✅                       | —                               | —                                  | ❌                     |
| Relatórios PDF com marca                          | ✅                       | ❌                              | Básico                              | ✅                     |
| Custo                                         | Código aberto + seu LLM   | Gratuito                            | Gratuito                            | $$$                    |

> Comparação direcional — Nuclei e ZAP são excelentes no que fazem. O Xalgorix adiciona a camada de descoberta com raciocínio pesado e verificação de exploração por cima.

### ☁️ Auto-hospedado vs Nuvem hospedada

Xalgorix é gratuito e de código aberto — faça self-hosting para sempre, sem amarras. A [nuvem hospedada](https://www.xalgorix.com/) roda o **mesmo** mecanismo com exploração verificada; ela existe para pessoas que preferem não gerenciar chaves de API, infraestrutura e contas de LLM imprevisíveis. Ambos são de primeira classe — escolha o que se encaixa.

|                                    | **Auto-hospedado** (este repositório)              | **[Nuvem hospedada](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ----------------------------------------------- |
| Preço para começar                     | Gratuito, Apache-2.0                         | Camada gratuita · um escaneamento completo a partir de $1               |
| Chave de API de LLM                        | Traga e gerencie a sua                  | Incluída — nada para gerenciar                      |
| Custo por escaneamento                     | Tokens brutos de LLM — variável, pode disparar     | 1 crédito por host ativo — previsível            |
| Configuração e operação                        | Você instala, atualiza e executa o conjunto de ferramentas  | Nada para executar — escaneie em ~60s                   |
| Infraestrutura fora de banda (SSRF/RCE cego) | Monte seu próprio servidor OOB             | OOB gerenciado incluído                            |
| Agendamento · equipe · RBAC           | Faça você mesmo                           | Integrado                                        |
| Atualizações                            | `git pull` + rebuild                     | Sempre na versão mais recente do mecanismo                     |
| Residência de dados / offline           | ✅ permanece na sua infra · compatível com air-gap       | Roda na nossa infra (DPA disponível)               |

**Faça self-hosting se** os dados precisarem permanecer na sua rede, você quiser controle total, ou for executar offline/air-gapped — é exatamente para isso que serve. **Use a nuvem se** preferir pular as chaves de API, infraestrutura e contas de tokens surpresa, e pagar apenas pelos hosts ativos que você realmente escaneia.

<div align="center">

[**☁️ Experimente a nuvem hospedada — gratuita →**](https://www.xalgorix.com/) &nbsp;·&nbsp; [**⚖️ Compare o custo real (calculadora) →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Se o Xalgorix economizar um ciclo de triagem para você, por favor **[⭐ dê uma estrela no repositório](https://github.com/xalgorix/xalgorix)** — isso genuinamente ajuda outros a encontrá-lo.

## 🎯 Casos de Uso

| Caso de Uso | Como o Xalgorix ajuda |
| -------- | ------------------ |
| **Teste de penetração** | Execute uma metodologia completa de 22 fases contra alvos autorizados. O agente de IA lida com reconhecimento, descoberta de vulnerabilidades, testes de injeção, SSRF, IDOR, bypass de auth, condições de corrida e mais — depois verifica os achados antes de relatar. |
| **Caça a bug bounty** | Aponte o Xalgorix para um alvo dentro do escopo e deixe o agente enumerar a superfície de ataque, testar classes comuns de vulnerabilidades e apresentar achados verificados com pontuações CVSS e evidências de prova de conceito. |
| **Operações de red team** | Use modos de escaneamento com curinga e multi-alvo para mapear a superfície de ataque externa de uma organização. O DAST assistido por navegador lida com fluxos de auth, formulários e comportamento em tempo de execução que scanners estáticos não detectam. |
| **Pesquisa de segurança** | A fase de descoberta de vulnerabilidades novas empurra o agente além da correspondência de templates conhecidos. Traga seu próprio LLM (OpenAI, Anthropic, DeepSeek, Gemini, Ollama, MiniMax) para controlar profundidade de raciocínio e custo. |
| **Testes de segurança contínuos** | Execute como um serviço de sistema com `xalgorix --start`. Escaneie em um agendamento, transmita achados para Discord ou Telegram e gere relatórios PDF com marca para stakeholders. |
| **Automação de DAST** | Testes orientados por navegador para aplicações web — fluxos de auth, formulários, conteúdo renderizado por JavaScript e comportamento em tempo de execução. Integra-se com Caido para inspeção de tráfego de proxy. |

## ✨ Recursos

| Área           | Capacidades                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 Painel      | Web UI local em `127.0.0.1:9137` por padrão, gerenciamento de escaneamentos, status ao vivo, ações em lote de escaneamentos e recuperação de escaneamentos históricos. |
| 🔍 Escaneamento       | Fluxos de alvo único, DAST, curinga e multi-alvo com fases de metodologia selecionáveis.                                   |
| 📡 Telemetria ao vivo | Chamadas de ferramentas, mensagens do agente, achados, erros, atividade HTTP e atividade de LLM via WebSockets.                              |
| 🐞 Achados       | Páginas de detalhes de escaneamento, filtros de severidade, detalhes de CVSS, índice de achados e fluxos de trabalho de achados verificados.                           |
| 📄 Relatórios      | Relatórios PDF com marca com nome de alvo/empresa, logotipo enviado, lista de relatórios, ações de abrir/baixar/excluir.                     |
| 🔔 Integrações   | Caixas de entrada de teste do AgentMail, e-mails de verificação, fluxos de OTP, eventos de triagem de e-mail, notificações do Discord e Telegram.            |
| ⚙️ Configuração  | Configurações do painel para LLM, AgentMail, Discord, Telegram, proxy, tempo de execução, navegador, auth, limites de taxa e recursos.       |
| 🛡️ Segurança em tempo de execução | Limites de instância cientes de recursos e vinculação somente a loopback, a menos que o acesso externo seja explicitamente configurado com auth.         |

## 📥 Instalação

Os caminhos mais rápidos não precisam de nenhum conjunto de ferramentas.

### ⚡ Instalação em uma linha (binário pré-compilado)```bash
curl -sSL https://www.xalgorix.com/install | bash

O assistente preserva as configurações existentes quando executado novamente, oculta a entrada da chave de API no terminal e, opcionalmente, inicia a interface web ao terminar.

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 Compilar a partir do código-fonte```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 Configuração

O Xalgorix carrega a configuração nesta ordem. Fontes posteriores substituem as anteriores.

| Ordem | Fonte                                                          |
| ----- | -------------------------------------------------------------- |
| 1     | `/etc/xalgorix.env`                                            |
| 2     | `/home/<sudo-user>/.xalgorix.env` quando iniciado via `sudo`   |
| 3     | `~/.xalgorix.env`                                              |
| 4     | Variáveis de ambiente já presentes no processo                 |

Crie o arquivo de ambiente local:```bash
nano ~/.xalgorix.env

### 🔌 Exemplos de Provedores

OpenAI:```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 Gateways LiteLLM / compatíveis com OpenAI (GitHub Copilot, Claude Opus, Codex, OpenRouter, Azure, modelos locais)

Como `XALGORIX_API_BASE` aceita qualquer endpoint `/v1/chat/completions` compatível com OpenAI,
o Xalgorix funciona com um proxy [LiteLLM](https://docs.litellm.ai/) sem necessidade de configuração adicional — nenhuma
alteração no lado do Xalgorix é necessária. O LiteLLM lida com a autenticação do provedor upstream (login de dispositivo do Copilot,
chaves do Azure, OpenRouter, Ollama, etc.); o Xalgorix apenas conversa via OpenAI com o gateway.

Execute o LiteLLM (exemplo de `config.yaml`):```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

O mesmo padrão cobre GitHub Copilot Business/CLI, Claude Opus, modelos estilo Codex,
OpenRouter, Azure OpenAI e modelos locais Ollama — qualquer coisa que o LiteLLM possa rotear. Mantenha o
prefixo `custom/` (ou `openai/`) e um `XALGORIX_API_BASE` que não seja Anthropic/Gemini, para que o Xalgorix
use o formato padrão de requisição OpenAI que o LiteLLM espera.

### 🔔 Integrações Opcionais```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> Prefira `XALGORIX_PASSWORD_HASH` para implantações em produção.

## 🆙 Atualizando a partir de versões anteriores

Esta versão traz uma passagem de estabilidade e isolamento de workspace com uma mudança significativa e alguns novos ajustes que vale a pena conhecer.

### 💥 Mudança significativa: workspace padrão movido para `~/.xalgorix/data/`

Saídas de varredura, anotações, agendamentos e outros artefatos gerados agora ficam em `~/.xalgorix/data/` em vez de `$CWD` (o diretório a partir do qual o binário foi iniciado).

Para manter o comportamento anterior, aponte `XALGORIX_DATA_DIR` para o seu diretório de trabalho atual:```bash
export XALGORIX_DATA_DIR=$(pwd)

Open:```text
http://127.0.0.1:9137

### 🌐 Acesso Externo

Vincule a outra interface somente após habilitar a autenticação do painel:```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

Com instruções personalizadas:```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Gerencie o serviço:```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 Acesso Remoto ao Serviço

Exponha o serviço a navegadores remotos apenas após ativar a autenticação do dashboard:```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

O listener do próprio dashboard está **sempre** protegido, mesmo com esta opção ativada.

> **⚠️ Implantações compartilhadas / multi-tenant / hospedadas: mantenha isto DESATIVADO.** Ativá-lo
> permitiria que a verificação de um usuário alcançasse a própria máquina do operador e a rede interna.
> Ele está desativado por padrão, portanto nenhuma ação é necessária para permanecer seguro — não defina
> `XALGORIX_ALLOW_LOCAL_TARGETS` (nem fixe `XALGORIX_ALLOW_LOCAL_TARGETS=false`),
> e não exponha a página de Configurações do mecanismo a usuários não confiáveis.

## 🔁 Fluxo de Trabalho da Interface Web

1. Abra o dashboard em `http://127.0.0.1:9137`.
2. Vá para Configurações e confirme o provedor de LLM, a chave de API, os limites de taxa e as integrações opcionais.
3. Crie uma verificação em Nova Verificação.
4. Escolha um modo de verificação.
5. Selecione as fases da metodologia quando quiser uma execução focada.
6. Defina filtros de severidade quando apenas determinadas severidades devem ser reportadas ao vivo. O filtro afeta apenas o feed do dashboard em tempo real e as notificações; o relatório em PDF e o `/api/findings` sempre incluem todas as vulnerabilidades que o agente descobriu.
7. Adicione o nome da empresa e carregue um logotipo para relatórios com marca.
8. Monitore o progresso em Visão Geral, Detalhes da Verificação ou Feed ao Vivo.
9. Abra os detalhes das descobertas, baixe relatórios ou gerencie verificações históricas em Verificações e Relatórios.

## 🔀 Modos de Verificação

| Modo             | Melhor para                                                                     |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 Alvo único    | Testar uma URL ou host conhecido.                                               |
| 🌐 Wildcard / múltiplo | Enumerar alvos relacionados e verificar a superfície de ataque descoberta.      |
| 🧭 DAST          | Testes assistidos por navegador para aplicações web, fluxos de autenticação, formulários e comportamento em tempo de execução. |

## 📂 Verifique Seu Código (sem necessidade de alvo)

Aponte o Xalgorix para uma base de código — uma URL Git, um caminho local ou um zip carregado — e
ele verifica o código-fonte diretamente. Sem URL implantada, sem infraestrutura para configurar.```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

O servidor mantém registos históricos de digitalização em disco para que a interface possa recuperar após atualização ou reinício.

## 🧪 Desenvolvimento

| Tarefa                        | Comando                       |
| --------------------------- | ----------------------------- |
| 📦 Instalar dependências da interface Web | `make webui-install`          |
| 🔨 Compilar tudo            | `make build`                  |
| ✅ Executar testes                   | `go test ./...`               |
| 🖥️ Executar a interface Web a partir do código-fonte      | `go run ./cmd/xalgorix --web` |
| ⚡ Executar o servidor de desenvolvimento do frontend     | `make webui-dev`              |

## 🚨 Notas de Segurança

- Utilize o Xalgorix apenas contra alvos autorizados.
- Não execute testes ativos contra sistemas de terceiros sem permissão.
- Reveja as instruções de digitalização antes de iniciar.
- Configure limites de taxa e definições de proxy para corresponder às regras do compromisso.
- Expor o painel externamente requer autenticação.
- A instalação automática está desativada por predefinição para utilizadores não-root e deve ser ativada apenas quando confiar no ambiente.

## 📜 Licença

O Xalgorix é distribuído sob a Licença Apache 2.0. Consulte [LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE).

## 🔗 Ligações

| Recurso      | Ligação                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ Alojado (Nuvem) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 Documentação | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 Problemas        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ Suporte       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |