Catálogo de capacidades e ferramentas

Uma extensão nunca escolhe binários, argumentos ou imagens. Ela pede uma capacidade tipada e o supervisor do CatBridge monta o comando, reserva o orçamento e devolve apenas JSON verificado. Cada capacidade tem um executor fixado por versão e hash; modificar o executável invalida as capacidades aprovadas.

Capacidades iniciais (SDK 1.3) #

Capacidades do ecossistema (SDK 1.4) #

Os adaptadores das etapas 2 a 5 exigem contrato 2 e .catflow 5. A API v1 e o Protocol 2 assinado permanecem compatíveis.

Alguns perfis consultam fontes públicas selecionadas: subfinder usa crt.sh e CertSpotter; Uncover usa o Shodan InternetDB por IP, sem credenciais; gau e waybackurls usam o Wayback — URLs históricas não comprovam serviços ativos. DNS aceita A, AAAA, CNAME, MX, NS e TXT; TTL e DNSSEC não são considerados verificados.

Perfis de execução #

• read-only — operações offline e consultas DNS.
• external-approved — consulta a fontes externas aprovadas.
• active-approved — testes ativos contra destinos aprovados.
• mutation-approved — exclusivo do Schemathesis, só depois de selecionar explicitamente as operações e obter nova aprovação.

No ecossistema o HTTP é limitado a GET. Descobertas e redirecionamentos não ampliam o escopo.

Orçamentos e limites #

Os limites valem para a tarefa inteira e são reservados antes de cada lote:

O cancelamento não devolve uma reserva cujo consumo seja desconhecido. Lotes concluídos (até cinco destinos e cinco templates) são reutilizados; repetir um lote de resultado desconhecido exige escolha explícita.

Templates revisados (Nuclei) #

O manifesto é uma lista com id, path, sha256 e name em pt-BR/en. Atualize o hash somente depois de revisar o YAML.

{
  "templates": [
    {
      "id": "aurora-cache",
      "path": "examples/aurora-cache.yaml",
      "sha256": "…",
      "name": {"pt-BR": "Cache do Aurora", "en": "Aurora cache"}
    }
  ]
}

Apenas HTTP GET/HEAD, destinos baseados em {{BaseURL}}, matchers e extractors são aceitos. Código, JavaScript executável, headless, DNS, OAST, workflows externos, raw requests e redirecionamentos configurados não são aceitos. Headers que alteram host ou enquadramento são recusados. Os hashes são verificados antes de cada execução.

Dados que a ferramenta recebe #

• O perfil padrão endpoints-only não encaminha cookies, tokens ou corpos.
• selected-headers compartilha até 16 cabeçalhos / 16 KiB escolhidos explicitamente na etapa e incluídos na aprovação.
• Cookie e Authorization exigem seleção explícita e classificação SECRET; cabeçalhos de host/enquadramento são recusados.
• Os valores selecionados ficam em um arquivo temporário privado, removido ao terminar. Corpos nunca são enviados ao Nuclei.

Recursos enviados ao fluxo #

Alguns adaptadores usam recursos que você envia em partes assinadas de até 64 KiB, vinculados a aparelho, fluxo, revisão e classificação; o hash faz parte da aprovação imutável.

Caminhos absolutos, travessia de diretório e links simbólicos são recusados.

Resultados e evidências #

Os resultados chegam em páginas assinadas de até 50 registros ou 512 KiB, com recibos verificáveis, versões e hashes do executável e dos templates. Valores de credenciais e parâmetros reconhecidos como secretos são ocultados.

Próximo passo #

• Instalar e parear o CatBridge
• Fluxos visuais
• Referência de erros