Filosofia

Um punhado de princípios decide os trade-offs no PEART. Vale lê-los uma vez, porque explicam escolhas que de outro modo pareceriam arbitrárias.

Auto-hospedado e offline

Tudo que o PEART guarda mora no host do próprio operador. Os catálogos ficam embarcados no binário, então ele roda em rede isolada sem dependência externa em tempo de execução, e não reporta nada para ninguém. Para uma ferramenta que armazena as vulnerabilidades não corrigidas dos clientes de uma consultoria, "seu dado nunca sai do seu host" não é um recurso parafusado por cima, é a premissa de partida em torno da qual todo o resto é construído.

Simples acima de esperto

O PEART prefere a solução direta e auditável à esperta. Dois binários Go estáticos sem CGO, um único banco SQLite, componentes de front-end sem etapa de build, migrações forward-only. O retorno é que o sistema inteiro pode ser lido e raciocinado, o que para um produto de segurança não é luxo: você não confia no que não consegue auditar, e a simplicidade é o que o mantém auditável.

Seguro por padrão, e honesto nas bordas

O PEART recusa configuração insegura em vez de cair num default conveniente, trata todo campo de texto como entrada hostil, e separa suas superfícies para que comprometer a exposta à internet não alcance a evidência nem a chave. E onde ele não protege algo (o banco é texto claro, o operador do host é confiado), diz isso com clareza. Uma limitação declarada vale mais que uma promessa vaga, porque o leitor consegue raciocinar sobre o risco residual em vez de confiar numa garantia que não se sustenta.

Relacionar, não certificar

O mapeamento de conformidade relaciona um achado a um controle; nunca certifica conformidade. A ferramenta dá ao auditor o mapa correlacional que ele montaria na mão, e deixa a conclusão com ele. O mesmo instinto atravessa o relatório: afirmar exatamente o que é verdade, com sua procedência, e deixar o leitor confiar porque não está inflado.

Open source, qualidade corporativa

Ser open source não é razão para ser menos rigoroso. Os releases assinados e atestados, os gates de segurança que rodam em cada commit, o modelo de ameaça escrito e mantido honesto, são o mesmo padrão a que um produto corporativo fechado seria cobrado. O fonte ser público é o que permite qualquer um conferir que o padrão é real.