Publicar uma aplicacao web sem uma revisao de seguranca e como sair de casa sem trancar a porta. Este checklist cobre os pontos criticos para evitar que sua aplicacao vire um alvo facil. Use antes de cada deploy, especialmente em ambientes de producao.
Configuracao de rede e transporte
- HTTPS obrigatorio: Certifique-se de que o certificado SSL/TLS esta valido e renovado automaticamente. Sem HTTPS, dados trafegam em texto puro.
- Redirecionamento HTTP para HTTPS: Todo trafego HTTP deve ser redirecionado para HTTPS. Teste com
curl -I http://seudominio.com. - Portas abertas: Feche portas desnecessarias no firewall. So devem ficar abertas 443 (HTTPS) e, se necessario, 22 (SSH) com acesso restrito por IP.
Headers de seguranca HTTP
- Content-Security-Policy (CSP): Defina de onde scripts, estilos e midias podem ser carregados. Bloqueia XSS e ataques de injecao.
- X-Frame-Options: Configure como
DENYouSAMEORIGINpara evitar clickjacking. - Strict-Transport-Security (HSTS): Force conexoes HTTPS por um periodo definido. Exemplo:
max-age=31536000; includeSubDomains. - X-Content-Type-Options: Use
nosniffpara impedir que navegadores interpretem arquivos como tipos diferentes do declarado.
Autenticacao e gerenciamento de sessoes
- Senhas com hash: Armazene senhas usando bcrypt ou argon2. Nunca em texto puro ou MD5.
- Autenticacao de dois fatores (2FA): Implemente para contas administrativas. Reduz risco de acesso indevido mesmo com senha vazada.
- Sessoes com expiracao: Defina tempo de inatividade (ex.: 30 minutos) e invalide sessoes no logout.
Validacao de entrada e saida
- Sanitizacao de entradas: Valide e escape dados vindos de formularios, URLs e APIs. Impede SQL injection e XSS.
- Controle de acesso: Verifique permissao em cada endpoint. Nao confie apenas em rotas ocultas.
Logs e monitoramento
- Logs de auditoria: Registre tentativas de login, alteracoes em dados sensiveis e erros de autenticacao. Armazene em local seguro.
- Rate limiting: Limite requisicoes por IP em endpoints de login e API. Evita bruteforce e DoS.
Erro mais comum
O erro mais frequente e esquecer de desabilitar o modo debug ou informacoes de versao em producao. Frameworks como Django e Express exibem stack traces detalhados que revelam caminhos de arquivos, versoes de bibliotecas e ate credenciais. Antes de publicar, verifique se DEBUG=False e que mensagens de erro sao genericas.
FAQ
O que e HTTPS e por que e essencial?
HTTPS criptografa a comunicacao entre o navegador e o servidor. Sem ele, dados como senhas e cookies podem ser interceptados por terceiros em redes abertas.
Como testar headers de seguranca na minha aplicacao?
Use ferramentas como SecurityHeaders.com ou extensoes de navegador. Elas analisam os headers HTTP e apontam ausencias ou configuracoes fracas.
O que e CSP e como configurar?
Content-Security-Policy define fontes autorizadas para scripts e recursos. Comece com uma politica restritiva, como default-src 'self', e ajuste conforme necessario.
Preciso de 2FA mesmo para aplicacoes pequenas?
Sim, especialmente se a aplicacao armazena dados de usuarios ou tem acesso administrativo. 2FA adiciona uma camada extra contra vazamentos de senha.
Como evitar SQL injection na pratica?
Use consultas parametrizadas (prepared statements) em vez de concatenar strings SQL. Bibliotecas como PDO (PHP) ou ORMs (Prisma, Sequelize) ja fazem isso.
O que fazer se encontrar uma vulnerabilidade apos o deploy?
Corrija imediatamente e faca um novo deploy. Notifique os usuarios afetados se dados foram expostos. Mantenha um canal de reporte de vulnerabilidades.
