Segurança de apps web, explicada

Content-Security-Policy (CSP): o que é e como adicionar uma

O cabeçalho que impede a execução de scripts injetados.

HTTP Strict Transport Security (HSTS) explicado

Force toda conexão a usar HTTPS — até a primeira.

Clickjacking e X-Frame-Options: mantenha suas páginas fora de iframes

Um cabeçalho impede que atacantes sobreponham seu app dentro de um iframe.

MIME sniffing e X-Content-Type-Options: nosniff explicado

Um cabeçalho impede navegadores de adivinhar tipos de conteúdo e executar uploads como scripts.

Erros de configuração

Arquivos .env expostos: como atacantes acham seus segredos

Um único .env acessível pode entregar toda a sua stack.

CORS mal configurado: as armadilhas do curinga e do reflexo

Permita toda origem e qualquer site poderá ler sua API.

Source maps em produção vazam o seu código-fonte

Arquivos .map publicados entregam o seu código original.

Diretório .git exposto: o vazamento de código-fonte à vista de todos

Um /.git acessível entrega todo o seu código e o histórico de commits.

Backups de banco de dados expostos: o que acontece quando /backup.sql está acessível

Um dump .sql acessível é a entrega completa de todo o seu banco de dados.

Segredos expostos

API keys expostas no JavaScript do cliente

Tudo no seu bundle é público. Trate assim.

Segurança de DNS e e-mail

Subdomain takeover: como acontece e como prevenir

Um CNAME pendente é uma porta aberta no seu domínio.

SPF e DMARC: barre a falsificação de e-mail do seu domínio

Impeça atacantes de mandar e-mail ao mundo como se fossem você.

Segurança de cookies

As flags de cookie Secure, HttpOnly e SameSite

Três flags que impedem o roubo dos cookies de sessão.

Cadeia de redirecionamentos

Por que seu site precisa de um redirecionamento HTTP→HTTPS

Não deixe a porta insegura aberta.

Segurança de banco de dados

Row Level Security (RLS) no Supabase: proteja suas tabelas

Sua anon key é pública. O RLS é a única coisa entre ela e os seus dados.

Firebase Security Rules: pare de deixar seu banco de dados aberto

Sua config do Firebase é pública por design. Suas regras decidem quem vê os dados.

Manipulação de arquivos, caminhos e recursos

Índices de diretório abertos: quando o seu servidor de arquivos lista tudo

Um servidor de arquivos que lista o próprio conteúdo dá aos atacantes um inventário de graça.

Tratamento de erros e resiliência

Páginas de erro detalhadas e stack traces em produção

Um stack trace mostra ao atacante exatamente onde mirar.

Segurança de API

Introspecção pública do GraphQL: por que é um problema e como desativá-la

Uma única query retorna o seu schema inteiro. Desative em produção.

Protocolo HTTP e requisições do servidor