Segurança e Fortalecimento

Visão Geral

Práticas de desenvolvimento com foco em segurança para aplicações web. Trate toda entrada externa como hostil, todo segredo como sagrado e toda verificação de autorização como obrigatória. Segurança não é uma fase — é uma restrição em cada linha de código que toca dados do usuário, autenticação ou sistemas externos.

Quando Usar

• Construindo qualquer coisa que aceite entrada do usuário
• Implementando autenticação ou autorização
• Armazenando ou transmitindo dados sensíveis
• Integrando com APIs ou serviços externos
• Adicionando uploads de arquivos, webhooks ou callbacks
• Lidando com dados de pagamento ou PII (Informações Pessoais Identificáveis)

Processo: Modelo de Ameaças Primeiro

Controles aplicados sem um modelo de ameaças são suposições. Antes de fortalecer, gaste cinco minutos pensando como um atacante:

1. Mapeie os limites de confiança. Onde dados não confiáveis cruzam para o seu sistema? Requisições HTTP, campos de formulário, uploads de arquivos, webhooks, APIs de terceiros, filas de mensagens e saída de LLMs — mais os valores locais que parecem internos porque o sistema operacional os entregou a você: linha de comando ou ambiente de outro processo, nomes de arquivos em um volume compartilhado, um caminho em uma carga de trabalho de job. A confiança segue quem escreveu um valor, não qual canal o entregou. Cada limite é uma superfície de ataque.
2. Nomeie os ativos. O que vale a pena roubar ou quebrar? Credenciais, PII, dados de pagamento, ações de administrador, movimentação de dinheiro.
3. Execute STRIDE sobre cada limite — uma lente rápida, não uma cerimônia:

4. Escreva casos de abuso ao lado dos casos de uso. Para cada funcionalidade, pergunte "como eu usaria isso indevidamente?" — então faça disso seu primeiro teste.

Se você não consegue nomear os limites de confiança para uma funcionalidade, você não está pronto para protegê-la. Isso é OWASP A04: Design Inseguro — a maioria das violações começa no design, não no código.

O Sistema de Limites de Três Camadas

Sempre Fazer (Sem Exceções)

• Valide toda entrada externa no limite do sistema (rotas de API, manipuladores de formulário)
• Parametrize todas as consultas ao banco de dados — nunca concatene entrada do usuário em SQL
• Codifique a saída para prevenir XSS (use o auto-escape do framework, não o ignore)
• Use HTTPS para toda comunicação externa
• Hache as senhas com bcrypt/scrypt/argon2 (nunca armazene em texto plano)
• Defina cabeçalhos de segurança (CSP, HSTS, X-Frame-Options, X-Content-Type-Options)
• Use cookies httpOnly, secure, sameSite para sessões
• Execute a auditoria nativa do gerenciador de pacotes detectado contra o arquivo de bloqueio comprometido antes de cada lançamento

Perguntar Primeiro (Requer Aprovação Humana)

• Adicionar novos fluxos de autenticação ou alterar a lógica de autenticação
• Armazenar novas categorias de dados sensíveis (PII, informações de pagamento)
• Adicionar novas integrações de serviços externos
• Alterar a configuração do CORS
• Adicionar manipuladores de upload de arquivos
• Modificar a limitação de taxa ou throttling
• Conceder permissões ou papéis elevados

Nunca Fazer

• Nunca cometa segredos no controle de versão (chaves de API, senhas, tokens)
• Nunca registre dados sensíveis (senhas, tokens, números completos de cartão de crédito)
• Nunca confie na validação do lado do cliente como um limite de segurança
• Nunca desative cabeçalhos de segurança por conveniência
• Nunca use eval() ou innerHTML com dados fornecidos pelo usuário
• Nunca armazene sessões em armazenamento acessível pelo cliente (localStorage para tokens de autenticação)
• Nunca exponha stack traces ou detalhes de erro internos aos usuários

Controles de Fortalecimento

As regras abaixo são o fluxo de trabalho; uma implementação concreta de cada uma vive em references/hardening-patterns.md. Abra a seção que você precisa quando chegar a esse código, não antes.

Injeção, XSS e controle de acesso

• Parametrize cada consulta. Nunca construa comandos SQL, NoSQL ou de shell a partir de strings de entrada.
• Codifique a saída através do auto-escape do framework. Se HTML bruto for inevitável, sanitize primeiro com um sanitizador de lista de permissão.

…