
Seu app feito com IA está pronto?
Os 40 itens pra conferir antes do primeiro cliente, em 7 grupos, cada um com o comando pro Claude revisar o seu projeto.
Antes de tudo
- No Claude, o jeito mais completo é abrir o projeto no Claude Code: ele lê o código, edita arquivos e roda comandos. Dá pra usar no terminal, no VS Code, no app desktop ou no navegador, em claude.ai/code.
- Sem Claude Code, cole o código ou anexe os arquivos numa conversa. Os comandos funcionam em outra IA também.
- Regra de ouro: peça primeiro só o diagnóstico («não altere nada ainda»). Corrija depois, um item por vez, e teste.
- A parte de lei não substitui advogado. Política, termos e cookies passam por um antes de publicar.
O checklist (40 itens)
Marque o que o seu app já tem. Os 40 itens estão em 7 grupos, e cada grupo tem 1 comando pro Claude auditar aquele grupo no seu projeto (mais abaixo).
1. Rede de proteção: teste antes e tenha como voltar atrás
- CI/CD: cada mudança passa pelos testes antes de ir pro ar, de forma automática.
- Testes unitários: cada peça do código faz o que deveria.
- Smoke tests: o básico abre e funciona depois de cada publicação.
- Testes de regressão: o que já funcionava continua funcionando.
- Backup do banco de dados.
- Restauração testada de verdade: backup que nunca foi restaurado é só esperança.
- Plano de rollback: voltar pra versão anterior quando a nova der errado.
- Ambiente de staging: uma cópia do app pra testar antes do cliente ver.
2. Vitrine pronta: seja encontrado e pareça profissional
- SEO e AEO: sitemap, robots.txt e dados estruturados, pro Google e as buscas com IA lerem o site.
- Analytics: quem entra, de onde vem e onde desiste.
- Domínio próprio com SSL: seu endereço, com cadeado no navegador.
- E-mail autenticado (SPF, DKIM e DMARC): registros no domínio que provam que o e-mail do app é seu e ajudam contra o spam.
- Imagem de compartilhamento (OG) e favicon: a prévia do link quando compartilham e o ícone na aba.
- Imagens otimizadas.
- Cache: a página não baixa tudo de novo a cada visita.
3. Alarme ligado: saiba do problema antes do cliente reclamar
- Alertas: aviso no celular ou e-mail quando algo sai do normal.
- Monitor de desempenho: quais telas estão lentas, e quando.
- Rastreio de erros: cada erro que o cliente vê chega até você com o detalhe.
- Logs: o registro do que aconteceu, pra investigar depois.
- Monitor de uptime: um serviço confere o tempo todo se o app está no ar.
4. Porta trancada: feche o que a pressa deixou aberto
- Login checado em todo endpoint: o servidor confere quem está pedindo em cada rota, não só a tela.
- Auditoria de dependências: bibliotecas de terceiros com falha conhecida.
- Segredos fora do repositório: senha e chave de API nunca no código.
- Troca de chave vazada: apareceu onde não devia, gere outra e desligue a antiga.
- Limite de requisições (rate limiting): ninguém derruba o app com milhares de pedidos.
- Teste de prompt injection: texto malicioso tentando dar ordens pra IA do app.
5. Cliente sem atrito: teste do jeito que o cliente usa
- Vários aparelhos: celular antigo, tablet, outro navegador.
- Internet lenta: quem abre no 4G fraco também é cliente.
- Telas de 404, 500, vazia e carregando: mensagem clara, nada de tela branca.
- Acessibilidade: contraste, texto nas imagens, navegação pelo teclado.
- Recuperar senha funciona do começo ao fim.
- Confirmação de e-mail funciona: o e-mail chega e o link abre.
6. Conta sem susto: controle o custo e a IA dentro do app
- Teto de gasto e alerta de cobrança em cada serviço pago.
- Evals: perguntas de teste com a resposta certa, pra saber se a IA do app continua acertando.
- Plano B quando a API do modelo cai: mensagem clara ou outro modelo no lugar.
- Limite de tokens e de contexto: o que o app faz quando o texto passa do tamanho que o modelo aceita.
7. Lei e manual: proteja quem usa e quem mexe depois
- Política de privacidade e termos de uso: a LGPD dá a quem usa o direito de acesso fácil às informações sobre o tratamento dos dados: finalidade, forma, duração, quem é o controlador e os direitos do titular (Lei 13.709/2018, art. 9º).
- Consentimento de cookies: o guia de cookies da ANPD recomenda um botão pra rejeitar todos os cookies não necessários.
- Excluir conta e dados: a LGPD garante pedir a eliminação dos dados tratados com consentimento, com as exceções do art. 16 (art. 18, VI).
- README: um texto que explica como o app funciona, pro você do futuro.
Os 7 comandos (versão completa)
Um comando por grupo. Troque o que está entre [colchetes]. Todos começam pedindo pro Claude ler o projeto: sem ver o código, ele só consegue dar conselho genérico.
Rede de proteção: teste antes e tenha como voltar atrás
Confere se o app tem testes, backup com restauração testada e um jeito de voltar atrás. O que ele não achar, marca «não encontrei».
Você é engenheiro de software sênior revisando um app feito com IA antes de receber clientes. Leia meu projeto: [abra no Claude Code ou cole os arquivos]. Ele faz: [o que o app faz e onde está no ar]. Verifique no projeto se existem: 1. CI/CD (testes rodando sozinhos antes de cada publicação) 2. testes unitários, smoke tests e testes de regressão 3. backup do banco de dados e um teste de restauração já feito 4. plano de rollback para voltar à versão anterior 5. ambiente de staging separado de produção Regras: não altere nada ainda. Se não conseguir confirmar um item pelo código, diga "não encontrei" em vez de supor. Formato: tabela com item | existe ou não | risco se faltar | como resolver, em ordem de prioridade.
Vitrine pronta: seja encontrado e pareça profissional
Confere SEO, analytics, SSL, prévia do link, favicon, imagens e cache, e diz quais registros SPF, DKIM e DMARC o seu domínio precisa ter.
Você é especialista em SEO técnico e em entrega de e-mail. Leia meu site: [abra no Claude Code ou cole os arquivos]. Domínio: [domínio]. O app envia e-mail por: [serviço de e-mail, se souber]. Confira no projeto: sitemap.xml, robots.txt, dados estruturados (schema.org), analytics instalado, SSL ativo, imagem de compartilhamento (og:image), favicon, imagens otimizadas e cache. Depois, diga quais registros SPF, DKIM e DMARC o meu domínio precisa ter e onde eu configuro. Regras: não invente valores de DNS; mostre o modelo e diga de onde tirar cada valor. Formato: checklist com item | ok, falta ou não sei | correção sugerida.
Alarme ligado: saiba do problema antes do cliente reclamar
Verifica alertas, desempenho, erros, logs e uptime. Para o que faltar, sugere a opção mais simples pro tamanho do seu app.
Você é engenheiro de confiabilidade. Leia meu app: [abra no Claude Code ou cole os arquivos]. Hospedado em: [onde]. Tamanho: [quantos usuários, mais ou menos]. Verifique se ele tem: alertas (e para onde vão), monitor de desempenho, rastreio de erros, logs úteis e monitor de uptime. Para o que faltar, sugira a opção mais simples para o meu tamanho e explique como instalar, passo a passo. Regras: não mude nada sem minha aprovação. Não registre senha, cartão ou dado pessoal nos logs. Formato: lista por prioridade, com o que fazer primeiro.
Porta trancada: feche o que a pressa deixou aberto
Procura rota sem login, dependência com falha conhecida, chave no código, falta de limite de requisições, prompt injection e outras falhas graves.
Você é especialista em segurança de aplicações web. Audite meu projeto: [abra no Claude Code ou cole os arquivos]. Procure: 1. rotas e endpoints sem checagem de login ou de permissão 2. dependências com falha de segurança conhecida 3. senhas, tokens e chaves de API escritos no código ou no histórico 4. falta de limite de requisições 5. brechas de prompt injection (texto do usuário que chega na IA sem filtro) 6. qualquer outra falha grave que encontrar (ex.: consulta ao banco montada com o texto do usuário, senha guardada sem criptografia) Para dependências, rode a auditoria de pacotes do projeto (npm audit ou equivalente) se puder; se não puder, diga quais versões eu preciso conferir. Regras: não corrija ainda. Se achar uma chave exposta, avise primeiro para eu trocar a chave antes de qualquer outra coisa. Formato: problema | arquivo e linha | gravidade (alta, média, baixa) | correção sugerida.
Se ele achar uma chave exposta, troque a chave antes de qualquer outra coisa.
Cliente sem atrito: teste do jeito que o cliente usa
Revisa o app como cliente: celular, internet lenta, telas de erro, acessibilidade, recuperar senha e confirmar e-mail. O que não der pelo código, ele diz como testar na mão.
Você é especialista em experiência do usuário e acessibilidade. Revise meu app: [abra no Claude Code ou cole os arquivos]. Confira: uso no celular e no computador, internet lenta, páginas 404 e 500, telas vazias e de carregamento, contraste, texto alternativo nas imagens, uso só pelo teclado, fluxo de recuperar senha e confirmação de e-mail. Regras: fale como cliente, não como programador. Se não der para testar algo pelo código, diga como eu testo na mão. Formato: problemas por tela, do mais grave ao mais leve, com a correção.
Conta sem susto: controle o custo e a IA dentro do app
Mostra onde ligar teto de gasto e alerta de cobrança, cria 10 evals, propõe um plano B se a API do modelo cair e mostra como o app trata texto acima do limite.
Você é engenheiro de IA revisando custo e confiabilidade. Leia meu app: [abra no Claude Code ou cole os arquivos]. Ele usa [modelo de IA e serviços pagos: hospedagem, banco, e-mail]. Uso principal da IA no app: [ex.: responder dúvidas de clientes]. 1. Diga onde configurar teto de gasto e alerta de cobrança em cada serviço. 2. Crie 10 evals: pergunta de teste + resposta esperada para o uso principal. 3. Proponha um plano B se a API do modelo cair (mensagem para o usuário ou outro modelo). 4. Mostre como o app trata texto acima do limite de contexto do modelo. Regras: não invente preço nem limite; se não souber o valor, diga onde eu confiro. Se o app não usar IA, diga isso e responda só o item 1. Formato: tópicos numerados.
Lei e manual: proteja quem usa e quem mexe depois
Rascunha a política de privacidade e os termos, revisa o banner de cookies e o fluxo de excluir conta e dados, e escreve o README.
Você é especialista em privacidade e LGPD. Você não é advogado. Leia meu app: [abra no Claude Code ou cole os arquivos]. Ele coleta [quais dados] para [finalidade]. Empresa responsável: [nome e contato]. 1. Rascunhe a política de privacidade (finalidade, forma e duração do tratamento, quem é o responsável, com quem os dados são compartilhados e os direitos do titular) e os termos de uso. 2. Revise o banner de cookies: os não necessários precisam de opção clara de recusar. 3. Revise o fluxo de excluir conta e dados. 4. Escreva um README explicando como o app funciona, como rodar e onde ficam as configurações. Regras: linguagem simples. Marque com [REVISAR COM ADVOGADO] tudo o que for decisão jurídica.
Isso não substitui advogado. Política, termos e cookies passam por um antes de publicar.
Deu erro?
Quer ver isso em vídeo?
No meu canal do YouTube eu mostro, passo a passo, como usar IA no seu negócio.
Ver o canal no YouTube