Tag
#Desenvolvimento
16 publicações
Princípio do menor privilégio na prática: cada coisa com o mínimo que precisa
A defesa mais barata e eficaz da segurança: dar a cada usuário, serviço e token só o poder estritamente necessário — e por que quase todo sistema erra nisso.
Ler →
Segurança de containers: Docker sem furos do build ao runtime
Container não é uma VM. Veja como fechar os furos de imagem, privilégio, segredo e supply chain que transformam um Docker mal configurado em root no host.
Ler →
Logging seguro e detecção de intrusão: enxergar o ataque enquanto ele acontece
O que registrar, o que nunca registrar e como transformar logs em detecção real de intrusão — sem forjar evidência nem afogar o time em alertas.
Ler →
Gestão de vulnerabilidades e CVEs: do alerta ao patch sem pânico
CVE, CVSS, EPSS e KEV para priorizar de verdade, SCA e SBOM, supply chain e um ciclo de patch que não vira incêndio a cada boletim de segurança.
Ler →
TLS e HTTPS explicados para desenvolvedores: o handshake sem mistério
O que o TLS realmente garante, o handshake 1.3 passo a passo, cadeia de certificados, forward secrecy e os erros de configuração que derrubam produção.
Ler →
Criptografia na prática para desenvolvedores: dados em repouso e em trânsito sem mágica
Simétrica vs assimétrica, AEAD, envelope encryption e KMS: um guia prático de criptografia em repouso e em trânsito para quem escreve o código.
Ler →
Programar com IA sem introduzir vulnerabilidades: o guia de código seguro assistido por LLM
Assistentes de código aceleram o trabalho, mas herdam padrões inseguros do treino. Como revisar, contextualizar e testar o que a IA escreve para não gerar dívida de segurança.
Ler →
CSRF e sessões seguras: a falha que faz o navegador da vítima agir contra ela
Como o Cross-Site Request Forgery abusa da sessão automática do navegador e como cookies SameSite, tokens anti-CSRF e sessões bem desenhadas fecham o vetor.
Ler →
Desenvolvimento seguro na prática: SDLC seguro e threat modeling com STRIDE
Como transformar segurança em parte do ciclo de desenvolvimento com shift left, threat modeling e STRIDE, em vez de um evento no fim do projeto.
Ler →
Prompt injection: a falha número um em aplicações com IA e LLM e como se defender
Prompt injection é o topo do OWASP LLM Top 10. Entenda por que a falha existe e monte defesa em camadas em apps e agentes com IA.
Ler →
O que é um pentest: por que testar sua aplicação como um atacante faria
Pentest é uma avaliação autorizada que simula um atacante para achar e provar vulnerabilidades exploráveis. Entenda o processo, as fases e por que fazer.
Ler →
Segurança de APIs: autorização, rate limiting e como fechar IDOR e BOLA
Como blindar sua API REST/JSON contra as falhas do OWASP API Top 10: BOLA/IDOR, BFLA, mass assignment, rate limiting e vazamento de dados.
Ler →
Autenticação segura: hashing de senha, salt e MFA explicados para desenvolvedores
Como guardar credenciais e autenticar de forma correta: por que hash lento, salt, pepper, MFA e CSPRNG decidem o estrago de um vazamento.
Ler →
XSS na prática: os três tipos de Cross-Site Scripting e como se defender
Stored, refletido e DOM-based: como o Cross-Site Scripting executa código no navegador da vítima e por que a defesa correta é o encoding de saída.
Ler →
Injeção de SQL: como o ataque funciona e como blindar sua aplicação
Como a injeção de SQL nasce da concatenação de entrada não confiável, os payloads que exploram a falha e a defesa que encerra a classe: queries parametrizadas.
Ler →
OWASP Top 10 explicado para desenvolvedores: as 10 falhas que mais derrubam aplicações
Um guia da taxonomia OWASP Top 10 para quem escreve código: a causa real de cada classe de risco e a defesa que fecha o buraco na prática.
Ler →