Auditoria independente
O que uma auditoria profissional verifica (e o que não), quanto custa, como escolher uma firma e como ler um relatório.
Como ler um relatório de auditoria
Um relatório de auditoria segue, quase sempre, uma estrutura parecida — saber reconhecê-la ajuda a extrair o que importa sem se perder em jargão técnico.
Ele começa definindo o escopo: exatamente qual código foi analisado, e em qual versão. Depois vêm os achados (findings), cada um com uma severidade — geralmente crítica, alta, média, baixa ou apenas informativa — e uma recomendação de correção. Por fim, cada achado tem um status: corrigido, reconhecido (a desenvolvedora do protocolo auditado conhece o risco e optou por aceitá-lo) ou ainda em aberto.
Duas perguntas rendem mais que a leitura superficial do relatório inteiro: os achados críticos e altos foram corrigidos, ou apenas "reconhecidos"? E o código auditado é o mesmo em produção — verificável pela comparação da versão do relatório com o código verificado no explorer, tema já visto na trilha de Contratos inteligentes.
"Zero achados críticos" é uma boa notícia, mas não é garantia de segurança absoluta — é um resultado, dentro dos limites que a primeira lição desta trilha estabeleceu.