Preflight.sh

Preflight.sh é uma ferramenta de linha de comando que examina seu código em busca de prontidão para lançamento. Identifica configurações ausentes, problemas de integração, preocupações de segurança, lacunas de metadados de SEO e outros erros comuns antes de você fazer o deploy em produção.

Não se passe por constrangido em produção. Basta executar o comando.

Instalação

Homebrew (macOS/Linux)

brew install preflightsh/preflight/preflight

npm

npm install -g @preflightsh/preflight

Go

go install github.com/preflightsh/preflight@latest

Docker

docker pull ghcr.io/preflightsh/preflight

Script Shell

curl -sSL https://preflight.sh/install.sh | sh

Download Manual

Baixe a versão mais recente em GitHub Releases.

Início Rápido

# Initialize in your project directory
cd your-project
preflight init

# Run all checks
preflight scan

# Scan a specific directory
preflight scan /path/to/project

# Run with verbose output (shows which files matched each check)
preflight scan --verbose
preflight scan -v  # short form

# Run in CI mode with JSON output
preflight scan --ci --format json

# Run only specific checks, or skip some, for fast iteration
# (one-off; unlike `preflight ignore` it doesn't change preflight.yml)
preflight scan --only seoMeta,ogTwitter
preflight scan --skip vulnerability,secrets

# Silence a check
preflight ignore sitemap

# Unsilence a check
preflight unignore sitemap

# List all check IDs
preflight checks

Skill de Agente

Este repositório inclui uma skill de agente compatível com skills.sh em skills/preflight/SKILL.md. Ela oferece aos agentes de codificação um fluxo de trabalho Preflight repetível: inspecionar preflight.yml, executar varreduras seguras para CI, triar descobertas, evitar ignores inseguros, reexecutar a validação e relatar o risco residual de lançamento.

Liste a skill deste repositório:

# With Bun
bunx --yes skills add preflightsh/preflight --list

# Or with npm
npx --yes skills add preflightsh/preflight --list

Instale apenas a skill Preflight:

# With Bun
bunx --yes skills add preflightsh/preflight --skill preflight

# Or with npm
npx --yes skills add preflightsh/preflight --skill preflight

Dashboard e Sugestões de IA

O Preflight é totalmente utilizável pela linha de comando sem conta. O dashboard opcional em app.preflight.sh adiciona um histórico hospedado de suas varreduras e sugestões de correção geradas por IA para cada descoberta. Seu código nunca sai da sua máquina: a varredura é executada localmente, e apenas um resumo editado dos resultados (IDs de verificação, status e mensagens, nunca valores secretos ou conteúdos de arquivos) é enviado quando você publica.

Crie uma conta gratuita e conecte a CLI:

preflight auth login    # opens your browser to authorize this CLI
preflight auth status   # show who you're logged in as
preflight auth logout   # remove stored credentials

Publique uma varredura no seu dashboard com --publish. Ele imprime um link para visualizar a execução. A publicação é de melhor esforço: se você estiver offline ou não estiver conectado, a varredura ainda será executada e encerrada normalmente.

preflight scan --publish

No dashboard, você obtém o detalhamento de passou/avisou/falhou de cada execução, a lista completa de descobertas e um histórico por projeto para que possa ver o que mudou entre deploys.

Você também pode ler esse histórico pelo terminal com preflight history:

preflight history                       # recent runs across your projects
preflight history --here                # only the current project's runs
preflight history <run-id>              # one run's full check results
preflight history --here --format json  # machine-readable, for agents

Requer preflight auth login. --here associa execuções ao repositório atual pelo git remote, a mesma chave usada na publicação.

Abra qualquer verificação falha ou com aviso em uma execução publicada para gerar uma correção passo a passo adaptada à sua stack detectada, com comandos e código prontos para copiar.

• Grátis inclui 5 execuções publicadas por mês.
• Traga sua própria chave: adicione uma chave de API da OpenAI ou da Anthropic nas configurações do dashboard e a publicação permanece gratuita e ilimitada (você paga diretamente ao seu provedor).
• Gerenciado ($5/mês): nós cobrimos os custos de IA e as execuções são ilimitadas, sem necessidade de chave de API.

O Que Ele Verifica

Serviços Suportados (72)

O Preflight detecta e valida automaticamente a configuração destes serviços:

Pagamentos

• Stripe, PayPal, Braintree, Paddle, LemonSqueezy

Rastreamento de Erros e Monitoramento

• Sentry, Bugsnag, Rollbar, Honeybadger, Datadog, New Relic, LogRocket

Email e Newsletters

• Postmark, SendGrid, Mailgun, AWS SES, Resend, Mailchimp, Kit, Beehiiv, AWeber, ActiveCampaign, Campaign Monitor, Drip, Klaviyo, Buttondown

Analytics

• Plausible, Fathom, Umami, Fullres Analytics, Datafa.st Analytics, Google Analytics, PostHog, Mixpanel, Amplitude, Segment, Hotjar

Autenticação

• Auth0, Clerk, WorkOS

Chat

• Intercom, Crisp

Notificações

• Slack, Discord, Twilio

Infraestrutura

• Firebase, Supabase, Redis, Sidekiq, RabbitMQ, Elasticsearch, Convex

Armazenamento e CDN

• AWS S3, Cloudinary, Cloudflare

Busca

• Algolia

SEO

• IndexNow

IA / LLMs

• OpenAI, Anthropic Claude, Google AI (Gemini), Mistral, Cohere, Replicate, Hugging Face, Grok (X/Twitter), Perplexity, Together AI

Configuração

O Preflight usa um arquivo preflight.yml na raiz do seu projeto:

projectName: my-app
stack: rails  # rails, next, react, vite, laravel, etc.

urls:
  staging: "https://staging.example.com"
  production: "https://example.com"

services:
  stripe:
    declared: true
  sentry:
    declared: true

checks:
  envParity:
    enabled: true
    envFile: ".env"
    exampleFile: ".env.example"

  healthEndpoint:
    enabled: true
    path: "/health"  # optional - auto-detects common paths if not set

  stripeWebhook:
    enabled: true
    url: "https://api.example.com/webhooks/stripe"

  seoMeta:
    enabled: true
    mainLayout: "app/views/layouts/application.html.erb"

  security:
    enabled: true

  secrets:
    enabled: true
    # Per-file allowlist for the secrets scan. Use this to suppress an
    # individual finding (e.g. a referrer-restricted public key) without
    # disabling the whole check.
    allowlist:
      - path: web/js/golden-hour.js
        fingerprint: "sha256:<hex>"   # recommended — pins to the exact secret
        reason: "HTTP-referrer-restricted Google Timezone key"
      - path: "web/tools/**/*.php"    # doublestar globs are supported

  indexNow:
    enabled: true
    key: "your32characterhexkeyhere00000"

  emailAuth:
    enabled: true  # opt-in, checks SPF/DMARC on production domain

  humansTxt:
    enabled: false  # opt-in, credits the team

  license:
    enabled: false  # opt-in, for open source projects

# Silence specific checks or services by ID
ignore:
  - sitemap
  - llmsTxt
  - google_analytics

Ignorando Verificações e Serviços

Silencie verificações ou serviços específicos usando preflight ignore <id>:

preflight ignore sitemap        # Ignore sitemap check
preflight ignore sentry         # Ignore Sentry service validation
preflight unignore sitemap      # Re-enable sitemap check
preflight checks                # List all ignorable IDs

Permitindo uma única descoberta de segredos

Prefira permitir uma descoberta individual em vez de silenciar toda a verificação secrets. Adicione exceções pontuais pela linha de comando:

preflight ignore secrets web/js/golden-hour.js

Isso adiciona uma entrada de caminho sob checks.secrets.allowlist no seu preflight.yml. O campo path é um glob doublestar (** corresponde a diretórios) resolvido em relação ao caminho do arquivo relativo ao projeto.

Fixe a impressão digital (fingerprint). Uma allowlist apenas com caminho aceita silenciosamente qualquer segredo futuro colocado nesse arquivo. Edite a entrada e adicione fingerprint: "sha256:<hex>" — o SHA-256 do valor do segredo detectado. Agora, se a chave for rotacionada ou um segredo diferente aparecer no mesmo arquivo, o preflight volta a alertar.

As descobertas são correspondidas por caminho + fingerprint, não por arquivo inteiro. Uma fingerprint permitida em um arquivo não suprime outros segredos em outras linhas do mesmo arquivo.

IDs de Verificação Ignoráveis

SEO e Social: seoMeta, canonical, structured_data, indexNow (opt-in), ogTwitter, viewport, lang

Segurança e Infraestrutura: securityHeaders, ssl, www_redirect, email_auth (opt-in), secrets

Ambiente e Saúde: envParity, healthEndpoint

Qualidade de Código e Desempenho: vulnerability, debug_statements, error_pages, image_optimization

Jurídico e Conformidade: legal_pages

Arquivos Padrão da Web: favicon, robotsTxt, sitemap, llmsTxt, adsTxt (opt-in), humansTxt (opt-in), license (opt-in)

IDs de Serviços Ignoráveis

Todos os serviços têm verificações de validação que confirmam a integração correta (variáveis de ambiente, padrões de SDK, arquivos de configuração):

Pagamentos: stripe, paypal, braintree, paddle, lemonsqueezy

Rastreamento de Erros: sentry, bugsnag, rollbar, honeybadger, datadog, newrelic, logrocket

Email Transacional: postmark, sendgrid, mailgun, aws_ses, resend

Email Marketing: mailchimp, convertkit, beehiiv, aweber, activecampaign, campaignmonitor, drip, klaviyo, buttondown

Analytics: plausible, fathom, google_analytics, fullres, datafast, posthog, mixpanel, amplitude, segment, hotjar

Autenticação: auth0, clerk, workos, firebase, supabase

Comunicação: twilio, slack, discord, intercom, crisp

Infraestrutura: redis, sidekiq, rabbitmq, elasticsearch, convex

Armazenamento e CDN: aws_s3, cloudinary, cloudflare

Busca: algolia

IA: openai, anthropic, google_ai, mistral, cohere, replicate, huggingface, grok, perplexity, together_ai

SEO: indexNow

Consentimento de Cookies: cookieconsent, cookiebot, onetrust, termly, cookieyes, iubenda

Códigos de Saída

Os códigos 1 e 2 significam que a varredura foi executada e relatou algo. O código 64 significa que ela nunca chegou lá, então o CI consegue distinguir "este projeto tem problemas" de "esta invocação estava errada".

Completions de Shell

Auto-completar por tabulação para comandos, flags e IDs de verificação (incluindo valores de --only e --skip):

# bash (add to ~/.bashrc)
source <(preflight completion bash)

# zsh (add to ~/.zshrc)
source <(preflight completion zsh)

# fish
preflight completion fish | source

A saída também respeita a variável de ambiente NO_COLOR.

Stacks Suportados

Frameworks de Backend

• Ruby on Rails, Laravel, PHP, Go, Python/Django, Rust, Node.js

Frameworks de Frontend

• Next.js, Nuxt, Remix, React, Vue.js, Vite, Svelte, Angular

CMS Tradicionais

• WordPress, Craft CMS, Drupal, Ghost

Geradores de Sites Estáticos

• Hugo, Jekyll, Gatsby, Eleventy (11ty), Astro

CMS Headless

• Strapi, Sanity, Contentful, Prismic

Outros

• Sites estáticos

Integração com CI

# GitHub Actions example (curl)
- name: Run Preflight
  run: |
    curl -sSL https://preflight.sh/install.sh | sh
    preflight scan --ci --format json

# GitHub Actions example (Docker)
- name: Run Preflight
  run: docker run -v ${{ github.workspace }}:/app ghcr.io/preflightsh/preflight scan --ci --format json

Licença

MIT