ShadowSignal

ShadowSignal monitora uma watchlist de ativos do próprio cliente e transforma sinal público em achado triável. O alvo nunca vem do corpo da requisição: vem sempre de um item que o tenant cadastrou. Isso não é detalhe de implementação, é a garantia de que o produto não vira ferramenta de vigilância sobre terceiros.

O que funciona hoje de ponta a ponta é o BrandSignal. Ele gera, de forma determinística, o conjunto de domínios-sósia do apex do cliente — omissão, repetição e transposição de caractere, vizinho de teclado QWERTY, hífen interno, homóglifos ASCII (rn no lugar de m, 0 no lugar de o) e troca de TLD sobre uma lista fixa de sete. Depois resolve cada variante. Variante que não resolve é descartada, para não inflar a tela com registro inexistente. A que resolve leva um GET passivo e uma consulta de MX: domínio ativo com MX publicado é o cenário de phishing por e-mail e recebe o maior risco que a fonte permite — 45 de 100, banda média. O teto vem do peso da fonte: typosquat é risco potencial, não consumado. Quem quiser tratar um ativo com mais rigor sobe o piso de severidade dele na watchlist.

O trabalho pesado roda no worker, em fila isolada. A coleta manual reserva crédito e emite o evento na mesma transação; a agendada é coberta pela assinatura e não reserva nada; um reaper ceifa run preso por worker morto e libera o crédito. Achado novo com severidade acima do piso vira e-mail. Re-observação do mesmo sinal atualiza `last_seen_at` e não realerta. Todo trecho cru passa por redação de segredo e por neutralização de cerca antes de tocar o banco.