Segurança e Fortalecimento

Visão Geral

Práticas de desenvolvimento com foco em segurança para aplicações web. Trate toda entrada externa como hostil, todo segredo como sagrado e toda verificação de autorização como obrigatória. Segurança não é uma fase — é uma restrição em cada linha de código que toca dados do usuário, autenticação ou sistemas externos.

Quando Usar

• Construindo qualquer coisa que aceite entrada do usuário
• Implementando autenticação ou autorização
• Armazenando ou transmitindo dados sensíveis
• Integrando com APIs ou serviços externos
• Adicionando uploads de arquivos, webhooks ou callbacks
• Lidando com dados de pagamento ou PII (Informações Pessoais Identificáveis)

Processo: Modelo de Ameaças Primeiro

Controles adicionados sem um modelo de ameaças são suposições. Antes de fortalecer, gaste cinco minutos pensando como um atacante:

1. Mapeie os limites de confiança. Onde dados não confiáveis cruzam para o seu sistema? Requisições HTTP, campos de formulário, uploads de arquivos, webhooks, APIs de terceiros, filas de mensagens e saída de LLM. Cada limite é uma superfície de ataque.
2. Nomeie os ativos. O que vale a pena roubar ou quebrar? Credenciais, PII, dados de pagamento, ações de administrador, movimentação de dinheiro.
3. Execute STRIDE sobre cada limite — uma lente rápida, não uma cerimônia:

4. Escreva casos de abuso ao lado dos casos de uso. Para cada funcionalidade, pergunte "como eu poderia usar isso indevidamente?" — e faça disso seu primeiro teste.

Se você não consegue nomear os limites de confiança para uma funcionalidade, você não está pronto para protegê-la. Isso é OWASP A04: Design Inseguro — a maioria das violações começa no design, não no código.

O Sistema de Limites de Três Camadas

Sempre Faça (Sem Exceções)

• Valide toda entrada externa no limite do sistema (rotas de API, manipuladores de formulário)
• Parametrize todas as consultas de banco de dados — nunca concatene entrada do usuário em SQL
• Codifique a saída para prevenir XSS (use o auto-escape do framework, não o contorne)
• Use HTTPS para toda comunicação externa
• Hache as senhas com bcrypt/scrypt/argon2 (nunca armazene em texto plano)
• Defina cabeçalhos de segurança (CSP, HSTS, X-Frame-Options, X-Content-Type-Options)
• Use cookies httpOnly, secure, sameSite para sessões
• Execute npm audit (ou equivalente) antes de cada lançamento

Pergunte Primeiro (Requer Aprovação Humana)

• Adicionar novos fluxos de autenticação ou alterar a lógica de autenticação
• Armazenar novas categorias de dados sensíveis (PII, informações de pagamento)
• Adicionar novas integrações de serviços externos
• Alterar a configuração CORS
• Adicionar manipuladores de upload de arquivos
• Modificar a limitação de taxa ou throttling
• Conceder permissões ou papéis elevados

Nunca Faça

• Nunca comite segredos no controle de versão (chaves de API, senhas, tokens)
• Nunca registre dados sensíveis (senhas, tokens, números completos de cartão de crédito)
• Nunca confie na validação do lado do cliente como um limite de segurança
• Nunca desative cabeçalhos de segurança por conveniência
• Nunca use eval() ou innerHTML com dados fornecidos pelo usuário <!-- security-allowlist: defensive hardening guidance -->
• Nunca armazene sessões em armazenamento acessível pelo cliente (localStorage para tokens de autenticação)
• Nunca exponha stack traces ou detalhes de erro internos aos usuários

Padrões de Prevenção do OWASP Top 10

Estes são padrões de prevenção, não um ranking. Para uma lista de verificação focada em tarefas, veja references/security-checklist.md.

Injeção (SQL, NoSQL, Comando de SO)

// BAD: SQL injection via string concatenation
const query = `SELECT * FROM users WHERE id = '${userId}'`;

// GOOD: Parameterized query
const user = await db.query('SELECT * FROM users WHERE id = $1', [userId]);

// GOOD: ORM with parameterized input
const user = await prisma.user.findUnique({ where: { id: userId } });

Autenticação Quebrada

// Hashing de senhas
import { hash, compare } from 'bcrypt';

const SALT_ROUNDS = 12;
const hashedPassword = await hash(plaintext, SALT_ROUNDS);
const isValid = await compare(plaintext, hashedPassword);

// Gerenciamento de sessão
app.use(session({

…