Todas as telas do Studio, e o que cada uma faz.

Como são os arquivos

Sim. Todo teste que o Studio escreve ou importa é código de framework que sua equipe já conhece. O mecanismo adiciona evidências, telemetria, veredictos e autorreparo ao redor dele; não o substitui.

• Playwright, JavaScript e TypeScript: um arquivo do Playwright Test. A importação de fixtures no topo é do Studio; o corpo usa page, localizadores e expect.
• Playwright, Python: pytest-playwright puro, uma função test_ que recebe page. Ela é executada apenas com pytest.
• Selenium, Python: pytest com uma fixture driver. O conftest.py do espaço de trabalho recorre a um WebDriver padrão quando a execução não é feita pelo mecanismo.
• Selenium, JavaScript: código selenium-webdriver dentro de run({ driver, By, until }). O executor do Studio cria e encerra o driver.
• Selenium, Java: JUnit 5, @ExtendWith(NexusExtension.class), um parâmetro WebDriver fornecido pela extensão. Compila com Maven.
• Selenium e Playwright, C#: NUnit, uma classe que estende NexusSeleniumTest ou NexusPageTest. Compila com .NET.
• Testes de API usam o formato JavaScript próprio do Studio.

Como sair

Seus testes, evidências e histórico são arquivos no seu espaço de trabalho. Para executar a suíte sem o Nexus: os testes Python rodam como estão, as importações JavaScript do Playwright voltam a apontar para @playwright/test (um ponto de verificação visual, se você adicionou algum, precisa ser substituído), e as funções run() do Selenium em JavaScript recebem algumas linhas que iniciam um driver. Os testes de API precisariam ser reescritos para outro executor.

Patrol

Onde os testes são escritos, executados e agendados. A árvore mostra cada teste com um logotipo por navegador, colorido conforme seu estado, e a faixa de execução acima do editor informa em palavras o que cada navegador está fazendo.

• Cinco abas: Casos de teste, Executar patrulha, Nexus Recorder, Redator de IA e Adaptador de testes.
• Alvos: Matriz de desktop (Chromium, Firefox e WebKit), Dispositivo móvel emulado, Dispositivo real (um celular Android real), ou Desktop + dispositivo real para o PC e um celular Android ao mesmo tempo, com as evidências arquivadas por identidade.
• Um navegador após o outro por padrão, ou até três ao mesmo tempo e vários testes simultâneos, quando você configurar. O Selenium roda no Chromium e no Firefox.
• Novos testes passam por um ensaio no ambiente isolado, que não registra histórico, antes de suas execuções começarem a contar.
• Sinalizadores de funcionalidade: cada sinalizador é executado ativado, desativado ou nos dois estados, enviado por cookie, cabeçalho, armazenamento local ou string de consulta, e o cartão informa a combinação em que um teste falha.

Nexus Recorder

Grava o que você faz no navegador como código de teste. Não há IA no processo: o que você clica é o que fica escrito.

• Grave para Desktop, Dispositivo móvel emulado ou um Dispositivo real: um celular Android conectado por USB, controlando o Chrome do próprio celular. Apenas JavaScript e Python por enquanto; Java e C# gravam no desktop.
• Escreve Playwright em JavaScript, TypeScript, Python ou C#, ou Selenium em JavaScript, Python, Java ou C#.
• Ou grava as chamadas de API feitas pela página como testes REST ou GraphQL, sem cabeçalhos de autenticação ou cookies e com campos que parecem conter segredos convertidos em variáveis de ambiente.
• Os Mapas de seletores analisam uma página sem IA, classificam cada seletor como ALTO, MÉDIO ou BAIXO e mantêm o mapa no seu disco.

Test Adapter

Traz os testes que sua equipe já tem para o Studio, sem reescrevê-los à mão.

• Cole um teste, solte um arquivo ou indique uma pasta: Playwright ou Selenium em JavaScript, TypeScript ou Python, usando Playwright Test, mocha, jest, pytest ou unittest.
• Reescreve com regras, não com IA: a inicialização e a configuração do navegador passam para a fixture do Studio, enquanto as asserções, condições, laços e esperas ficam como estavam.
• Mostra as diferenças lado a lado e a contagem de asserções antes e depois. Uma asserção perdida bloqueia a importação, a menos que você aceite a perda, linha por linha.
• Uma IA opcional cuida apenas do que nenhuma regra cobre, e seu código passa pelo rigoroso Vet. Os testes mantidos são executados em um ambiente isolado até completarem três execuções sem falhas.
• Cypress, WebdriverIO, Robot Framework, Java e C# não são compatíveis.

Reparar linha e autocorreção

O que acontece quando um localizador deixa de funcionar. Nada é reparado sem você saber.

• Autocorreção, definida como Sugerir por padrão: após uma falha, um navegador em segundo plano executa novamente o teste até a linha que falhou e lê a página, deixando os candidatos prontos. Sem IA, e o teste continua vermelho.
• Reparar linha, na margem dessa linha: grave novamente apenas essa etapa ou troque o seletor, com os mais robustos primeiro e XPath por último. A alteração aparece no editor sem ser salva, e salvá-la é sua aprovação.
• Perguntar à minha IA qual usar pode reordenar os candidatos, mas nunca adicionar um. A versão anterior do arquivo permanece na linha do tempo dele.
• Integridade dos localizadores lista os localizadores frágeis do teste aberto e os repara da mesma forma.

Devices & Mobile

Celulares Android reais, conectados por USB à máquina que executa o mecanismo. Sem fazenda de dispositivos, sem minutos para comprar.

• Vários celulares ao mesmo tempo, via adb e Chrome DevTools Protocol, com um guia para conectar o primeiro.
• Ver tela espelha um celular no seu PC: é possível controlá-lo por esta tela, mas apenas visualizá-lo quando aberto pelo Patrol.
• Emulação de dispositivos móveis, com os perfis de dispositivos do Playwright: Chrome no Android, um iPhone ou iPad no WebKit, o mecanismo do Safari, e um perfil de aparelho básico. Os dispositivos reais são apenas celulares Android: um iPhone ou iPad é emulado, nunca um dispositivo físico da Apple, então o teclado e os gestos de sistema do iOS não são testados.
• Os testes em um celular são executados um de cada vez, e a execução em um celular sempre fica na máquina à qual ele está conectado.

Watch

No Patrol, em Executar patrulha: executa novamente uma seleção em intervalos programados, sem supervisão.

• Repetir em intervalos de 5 minutos a 24 horas, ou Uma vez, em uma data. Termina quando você interromper, após um número de execuções ou em uma data.
• É executado como um processo independente, então fechar o Studio não o interrompe. A máquina precisa estar ligada: enquanto estiver suspensa, as execuções agendadas aguardam ou são ignoradas.
• Alertas no Telegram ou Slack apenas quando um estado muda, como ALERTA ou RECUPERADO.

Docker e SSH

O Studio é um aplicativo desktop para Windows 11, no seu PC ou, opcionalmente, em um mini PC com Windows 11. A partir dele, o engine executa as suítes de um workspace nesta máquina, no Docker dela ou via SSH em outra máquina. O próprio Studio nunca roda no Docker nem via SSH.

• No Docker, a suíte é executada no contêiner do executor no mesmo disco, então as evidências ficam no seu espaço de trabalho como de costume.
• Via SSH, em uma VPS com Ubuntu 24.04 LTS, Docker Engine e Compose v2, acessada com autenticação por chave: o engine executa a suíte lá, na mesma imagem de contêiner usada no Docker aqui, e as evidências permanecem lá até que você as baixe.
• Celulares Android reais, suítes Selenium e Python, caos de infraestrutura e importação de resultados sempre são executados na própria máquina do Studio.
• A barra superior mostra onde o espaço de trabalho é executado e sua RAM e CPU. O ritmo adaptativo, quando ativado, ajusta a quantidade de navegadores simultâneos à RAM livre.

API tests

Testes REST e GraphQL com sete veredictos próprios. Eles rodam a partir do Patrol como qualquer teste, e cada endpoint registra sua própria pasta na seção API testing do Evidence Locker.

• API_SECURE: todas as asserções se mantiveram e o formato da resposta corresponde ao último registrado. API_FLAKY: passou em uma nova tentativa. API_DRIFTED: passou, mas o formato mudou, e o diff nomeia cada campo adicionado, removido ou com tipo alterado. O drift conta como aprovação até você torná-lo estrito.
• API_BREACHED: uma asserção falhou. API_DEGRADED: mais lento que o orçamento de latência, 2000 ms por padrão, e só é um veredicto quando o desempenho é estrito. API_VULNERABLE: uma requisição sem credenciais foi respondida onde se esperava um 401 ou 403; a ausência de um cabeçalho de segurança, por si só, nunca a classifica assim. API_BLOCKED: um 429, ou um 403 com assinatura da Cloudflare ou da Akamai, de modo que a requisição nunca chegou ao seu produto.
• Na tela: blocos para endpoints, aprovados, execuções acima do orçamento, formato alterado, vulneráveis já registrados e mais lento observado; os filtros all, failed, drifted e vulnerable; e uma tabela com endpoint, veredicto, min, mediana, p95, max, n e taxa de aprovação. Um endpoint com menos de 20 observações mostra um traço, não um percentil.
• Clique em uma execução para abri-la em seis abas: Report, Request, Response, Performance, Schema e AI Analysis, esta última preenchida quando a sua IA está conectada. Uma etapa com falha de um fluxo oferece Re-run from step N e Re-run failed step.
• Registrado por execução em api-evidence: request.json, response.json, performance.json, schema.json, report.md e metadata.json, com segredos ocultados nos cabeçalhos e no corpo. O report.md termina com um comando curl que reproduz a chamada. As execuções aprovadas mantêm as 20 mais recentes por teste; as falhas são sempre mantidas.
• Criando um: New test, API, pede um Type: REST, GraphQL ou SOAP sobre HTTP. Cada Type parte de um caso que roda como está escrito contra um endpoint público, e a primeira linha do arquivo registra o Type, de modo que a árvore de arquivos o mostra e mover o arquivo não o altera. SOAP é XML enviado como texto e verificado com regras de texto, sem parser de XML. Ambientes com nomes como staging e prod mantêm sua própria URL base, e um token é guardado apenas como o nome da sua variável. As pastas podem ser aninhadas.
• API Flow Recorder: no Nexus Recorder, grave as chamadas que a página faz e depois Review the recording before the suite is written. Calls lista cada uma com seu método, caminho, status, categoria e o motivo. Apenas chamadas de API de negócio, autenticação, leitura e alteração de estado entram inicialmente na suíte; beacons de telemetria, hosts de terceiros, assets e preflights ficam de fora, e você pode marcá-los de volta. Flows encadeiam um valor de uma resposta em uma requisição posterior, como um token de login, e Redactions lista os campos com aparência de segredo marcados como nunca gravados.
• A partir da revisão: Generate test grava a suíte, Generate OpenAPI grava um rascunho 3.1 com tipos e códigos de status e sem valores gravados, e Load test abre as chamadas como um plano de Load.

History

Cada teste em cada identidade, execução após execução.

• Abas para o resumo, confiabilidade, desempenho, API, falhas, cobertura, qualidade e resultados de testes unitários e de integração.
• Tendências por sessão, dia ou semana: Regressed, Recovered, Still broken, Slower. A matriz de identidades confronta cada teste com cada navegador e dispositivo.
• Unitários e de integração: importe JUnit XML do Jest, Vitest, pytest, Maven ou gotestsum, mantidos separados dos números de ponta a ponta.
• Risco, no Evidence Locker e no Patrol: um ranking por frequência com que um teste oscila, quebra ou consome tempo, em que nada é chamado de instável (flaky) com menos de cinco execuções, e um risco previsto por regressão logística sobre o seu histórico, com fallback para EWMA quando os dados são escassos.

O que uma linha do History contém →

Visual Regression

Comparação de pixels com as imagens que você aprovou. A primeira execução com --visual cria a baseline e todas as execuções seguintes são comparadas com ela. A tela abre no que precisa de uma decisão: Pixels moved.

• Cada regressão é um card: o teste, o checkpoint, a parcela de pixels que mudou em relação à sua tolerância, "N of M px", as dimensões, quantas áreas mudaram e um aviso quando a captura nunca estabilizou. Pixels de borda remesclados por anti-aliasing não são contados.
• Visualizações Side by side, Swipe, Diff e Blink, e as execuções anteriores do mesmo checkpoint: uma regressão é um fato, quatro seguidas, cada uma um pouco pior, são uma UI em deriva, e quatro idênticas são um teste gravado sobre algo instável.
• As baselines são mantidas por navegador e plataforma. Approve this change substitui apenas a imagem daquele checkpoint; Approve all serve para uma mudança que afeta muitos, como um cabeçalho global.
• Settings na mesma tela, com seus valores padrão: Compare pixels on every run desligado, Full-page tolerance 1,0%, Element checkpoint tolerance 0,1%, A regression fails the test desligado (a regressão é registrada e o teste continua SECURE; ligado, aparece como BREACHED) e Masked on every photo (CSS selectors) para um relógio ou um anúncio.
• Arquivados por regressão em visual-regression: baseline.png, current.png, diff.png (vermelho para o que mudou, âmbar para o anti-aliasing ignorado, cinza para o que não mudou), visual-report.md e result.json, os 10 mais recentes por teste e checkpoint, a cerca de 1 MB por conjunto.

Executive Report

A qualidade de uma release em um único PDF, para quem a aprova.

• Escolha um período: todo o histórico, os últimos 7, 30 ou 90 dias, ou um intervalo personalizado.
• Um parecer de release com go, atenção ou no-go, com confiança, cobertura e taxa de aprovação.
• Falhas com causa raiz e impacto no negócio, estabilidade por teste, achados de segurança, testes de API e a pirâmide de qualidade com resultados end-to-end, de integração e unitários.
• As recomendações vêm de regras, não de uma IA.

Chaos Lab

Testes de resiliência, do navegador ao container.

• Falhas no navegador: latência de Network (≈3G), um Offline blackout no meio do teste, um CPU throttle 4x no Chromium, ou tudo ao mesmo tempo, com perda de pacotes e pressão de memória além disso.
• Infraestrutura: registre um container Docker, ou o app sob teste, e então pause, pare, mate ou reinicie, com ou sem um teste rodando contra ele.
• A recuperação é medida com uma sonda de saúde a cada 500 ms: tempo para detectar, tempo para recuperar, disponibilidade. O resultado aparece como RESILIENT, DEGRADED, NOT_RECOVERED ou NOT_INJECTED.
• Somente alvos registrados, nunca os containers do próprio Studio. A falha é registrada antes de ser disparada e sempre revertida, e uma execução em que nenhuma falha foi disparada nunca é chamada de resiliente.

Load

Concorrência, percentis e um veredito, direto do próprio engine.

• Threads de trabalho no engine, sem ferramenta de carga externa, e um relatório em arquivos statistics.json por rótulo.
• Requisições por segundo, p50, p90, p95 e p99, taxa de erro e APDEX. O veredito é PASS, OVER_BUDGET ou UNMEASURED.
• Measure Web Vitals under load: uma página real no Chromium amostrada antes, a cada 15 segundos durante e depois da carga, para LCP, CLS, FCP, TTFB e TBT.
• Ele só é armado depois que você digita AUTHORIZED, e um alvo que não seja esta máquina pede a confirmação de novo.

Segurança

Executa as verificações de segurança que você configura e registra o que encontrou, com as evidências. Smart Monkey, o scanner DAST, fica na tela Security, em Run a scan.

• O Smart Monkey varre um alvo que você está autorizado a testar: XSS, SQL injection, controle de acesso quebrado, IDOR, SSRF, command injection, path traversal, template injection, XXE, open redirects, CORS, cabeçalhos de segurança e flags de cookie, entre outros.
• Escolha uma fase ou execute todas: pre-auth, auth-transit, post-auth, http-probes (cookies, CORS, headers, redirecionamentos, arquivos), ssrf, cmdi, xss-oob, sqli (blind, boolean e time-based), idor ou agent (descoberta orquestrada, com orçamento). Uma linha em linguagem simples explica a que você escolheu.
• A confirmação out-of-band usa um listener HTTP na sua própria máquina: cada payload leva um token aleatório de 32 caracteres, e SSRF, injeção de comandos e XSS cego só contam quando o alvo responde com ele. Não há callback de DNS nem serviço público como Interactsh ou Burp Collaborator, então nada sobre o seu alvo vai para terceiros.
• Authorization to test: um host sem base registrada é recusado antes de qualquer pacote ser enviado, e endereços privados e locais passam sem ela. Cada scan registra sua autorização, operador, alvo, operação e uma janela de 60 minutos, lacrados localmente e nunca enviados a lugar nenhum.
• Cada sessão arquiva uma pasta por achado com audit_report.json, screenshot.png, replay.webm quando a gravação sobreviveu e um replay.mjs executável que o nexus replay roda sobre a pasta do achado. A raiz da sessão acrescenta session_summary.json e results.sarif. As 10 sessões mais recentes são mantidas.
• SARIF 2.1.0, um resultado por achado: a regra é o CWE do achado, CRITICAL e HIGH viram error, MEDIUM vira warning, o restante vira note, e a localização é a URL testada. O GitHub code scanning e o GitLab o ingerem diretamente, e o nexus monkey o grava em um runner de CI sem o Studio.

Verificações de qualidade dentro de uma execução

Ativadas por execução em Run patrol ou em Settings. Cada uma é apenas consultiva até você torná-la estrita, e então passa a ser um veredito.

• Acessibilidade com axe-core conforme WCAG 2.1 AA, além do tamanho da área de toque em celulares.
• Web Vitals comparados a orçamentos (LCP 2,5 s, CLS 0,1, INP 200 ms, TTFB 800 ms) e uma auditoria de lazy-loading que classifica de A a F como a página carrega suas imagens.
• Detecção de bloqueio: um 403, um 429 ou uma página de desafio aparece como BLOCKED. Os sinais de automação ficam ocultos do site por padrão, e uma única chave desativa isso.
• O modo estrito transforma uma quebra em A11Y_VIOLATION, PERFORMANCE_DEGRADED ou SECURITY_VIOLATION.

Timeouts

Quanto tempo um passo do Playwright pode esperar antes de a execução aparecer como TIMEOUT. Quatro ajustes em Settings, em Execution & Timeouts. Os valores abaixo são os padrões.

AI Providers

A IA por trás da análise forense de falhas e da triagem dos achados do Smart Monkey.

• Local only é o padrão: um modelo nesta máquina via Ollama, sem fallback para a nuvem.
• Auto, Anthropic ou OpenAI quando você escolher, e a tela informa claramente quando prompts estão saindo da sua rede. As chaves são somente para escrita.

Settings

Os controles por trás das outras telas, em um só lugar.

• Integrações: Jira, Xray, Azure DevOps, Slack e Telegram, cada uma desativada até você ativá-la. Jira e Azure Boards mantêm uma issue por teste com falha: uma falha (BREACHED, BREACHED_FLAKY ou CHAOS_BREACHED) ou um TIMEOUT a abre, uma repetição comenta nela, uma passagem limpa a fecha. Nunca um bloqueio, uma queda, um site inacessível ou um erro de configuração. Integrações
• Evidências e retenção: quantos relatórios de erros, capturas de tela de testes aprovados e sessões de varredura cada teste mantém.
• Seletores e autocorreção, ritmo adaptativo conforme a pressão sobre a RAM e os sinais de automação que o navegador exibe.