Desenvolvedor & Fundador
Da engine de um MMO em C++ a SaaS em produção — projeto, escrevo e coloco no ar sozinho. Backend, frontend, infra e segurança.
Sou desenvolvedor full-stack e fundador. Gosto de pegar um problema real e levar até o ar: arquitetura, código, infraestrutura e o produto na frente do usuário — sem depender de um time inteiro pra cada etapa.
Minha faixa vai baixo e alto ao mesmo tempo: mexi no motor de um MMO em C++ e Lua, subi SaaS em Python/FastAPI e Node, construo apps desktop com Qt, mantenho sites em produção com Docker e nginx numa VPS, e trabalho com segurança ofensiva autorizada.
MMORPG próprio na base do Tibia 7.72, construído do motor ao site: combate com crítico, desarmar e elementos, forja em 5 tiers, 12 classes, quests em capítulos, pão abençoado e culinária, cliente próprio com +14 mil sprites novos, loja e site em 4 idiomas.
API de reputação de dispositivos para jogos e softwares licenciados: uma chamada no login devolve o veredito e permite banir a máquina, não só a conta. Painel, 7 SDKs, gateway sem código, webhooks e SIEM. No ar, em acesso antecipado.
SaaS para o advogado trabalhista do lado do trabalhador: calcula as verbas rescisórias nos 5 motivos de rescisão, gera a minuta da petição inicial em Word e confere a peça com 26 checagens automáticas antes de ela sair. 896 testes automatizados.
App de advocacy do paciente, para um quadro grave não passar despercebido: 22 sinais de alerta num motor de regras que funciona até offline, segunda opinião por IA que não afirma diagnóstico, consulta com o médico e histórico cifrado. Nasceu de um quase-óbito por diagnóstico errado.
A próxima versão do Crux Sacra num motor mais moderno (TFS, sobre base de terceiros): portei forja, crítico, atordoamento, buffs e magias, invasão de zumbis e guardas, corrigi o protocolo e o motor em C++ e levei o visual para o cliente. Pausado no ambiente de teste.
Servidor de WoW Legion 7.3.5 com bots que jogam comigo, sobre o núcleo open source (LegionCore + LegionBotAI): time que faz masmorras e raides no modo Avançar, arena 2x2 contra bots, cidades povoadas, correções do motor em C++ e autoteste de 48 cenários a cada versão.
Login único self-hosted para as minhas aplicações: provedor de identidade OIDC próprio, módulo cliente reutilizável para apps FastAPI e autorização por papel no servidor. O provedor está no ar e o primeiro app já entra por ele.
Jogo grátis de estratégia e tower defense no navegador, com motor próprio em Canvas 2D: base élfica, ouro e madeira, 14 torres que evoluem até o nível 25 e um troll com IA que caça a base, em 4 mapas com andares, névoa de guerra e dia e noite. 985 testes automatizados.
App que transforma teclado e mouse em toques em qualquer app do Android, com editor visual por cima do jogo. Em volta: conta com keymaps cifrados, site de venda com Pix e cartão (Mercado Pago), programa de parceiros e painel de administração — backend migrado do Firebase para servidor próprio.
Plataforma de reputação no estilo ReclameAqui para influenciadores, lojas de Instagram e empresas: reclamação com direito de resposta, moderação auditável, antifraude de PIX e um setor de segurança e LGPD com divulgação coordenada.
Minha porta de entrada no setor jurídico — a base técnica que hoje se conecta ao JusLabor.
Avaliações de segurança em consultoria para instituições financeiras e diversos segmentos — projetos de 30 a 240 horas, incluindo escopo PCI DSS. Metodologia rastreável (fases, evidência, relatório), sempre em escopo e sob contrato.
Primeiro brasileiro a obter a certificação OWASP SAMM — o modelo de maturidade de segurança de software. Leva a segurança do pentest pontual para o amadurecimento do programa de AppSec e do SDLC seguro.
Caça a vulnerabilidades com toolchain própria de recon e exploração — automação sobre ferramentas de mercado e cruzamento de múltiplas fontes de CVE.
Modelagem de ameaças e leitura honesta de LGPD embutidas nos produtos — não como carimbo, mas como decisão de arquitetura.
Ferramenta open source que orquestra assessments autorizados de Web/API guiados por evidência: fases, controle de ferramentas (Burp, Nmap, ffuf, Nuclei, sqlmap), trilha append-only e checkpoints de revisão por IA.
Ver no GitHub ↗Leitura byte-a-byte de pacotes e do cliente pra entender e reimplementar o comportamento — a base pra rodar meus próprios servidores e clientes de MMO.
Dump e decode de formatos fechados (sprites, dados de cliente) pra extrair, converter e portar assets entre versões.
Engenharia reversa do formato de replay pra reconstruir e renderizar o mapa a partir do arquivo — sem depender do app oficial.
Acompanho AppSec, Product Security e AI Security de perto. Exemplo — o briefing de 9/9/2026, com o meu comentário em cada manchete.
O que me preocupa não é o browser em si — é que a workstation do dev virou elo crítico da cadeia (browser → GitHub → cloud → CI/CD → produção). Trato patch de browser em endpoint de engenharia como superfície de DevSecOps e confiro a versão instalada de fato, não só a política de auto-update.
Ler nota →CVSS 6.5 engana. O ponto é que o IDE virou o control plane do dev: token do Git, conteúdo dos repos, credenciais de MCP e de cloud, sessões de agente. Segurança de coding agent não acaba em prompt injection — host, IDE, extensões, MCP e segredos são uma trust boundary só. Nada de credencial estática de alto privilégio dentro do IDE.
O incômodo é o registry ter deixado passar um malware cujo hash já era conhecido há meses. Não dá pra depender do registry. Trato npm install de dependência nova como execução de código não confiável — mais ainda quando é um coding agent instalando sozinho. Lockfile + proxy/reputação de registry + trava de lifecycle scripts + identidade efêmera de CI.
Exemplo perfeito de por que “requires authentication” não baixa prioridade sozinho: se qualquer tenant obtém essa auth e o resultado é root, continua Critical. Cross-tenant blast radius. No threat model multi-tenant, tenant → app compartilhada → serviço privilegiado → host é um attack path explícito, não detalhe.
Autorização é sobre capability, não sobre login. “Pode controlar a sessão” ≠ “pode transferir executável” ≠ “pode executar” — cada uma devia ser uma permissão separada. Mas sem exploração ativa nem PoC, eu não colocaria acima dos zero-days só pelo CVSS 9.9.
O ambiente do dev (repo → IDE → agente → MCP → package manager → shell → Git → CI/CD → cloud) está dissolvendo a fronteira entre endpoint security, AppSec e supply chain. Com IA acelerando a descoberta de bugs (Patch Tuesday de setembro ~974 CVEs), o valor de um programa de AppSec deixa de ser “quantos bugs meu scanner acha” e passa a ser reachability, exploitability, attack-path e automação de remediação.
Pipeline de assets: trazer monstros, itens, efeitos e sprites de outros servidores de Tibia para o motor 7.72 — com dump e decode byte-a-byte de .dat/.spr.
Biblioteca de 49 skills de marketing, SEO e vendas — isolada por design do ferramental de segurança.
Aberto a projetos, colaborações e conversas. O jeito mais rápido é o e-mail.