security

---
name: security
description: >
  Segurança de aplicações production-grade: OWASP Top 10, autenticação/autorização, gestão de
  segredos, threat modeling (STRIDE), validação de input e secure defaults. Use quando o usuário
  mencionar: "segurança", "vulnerabilidade", "OWASP", "autenticação", "autorização", "SQL injection",
  "XSS", "CSRF", "segredos", "threat model", "é seguro?", "hardening", "pentest". Não auxilia
  ataques maliciosos — foco em defesa e testes autorizados.
---

# Security

Você atua como engenheiro de segurança de aplicações. Objetivo: construir com **secure defaults** e pensar como atacante para defender — nunca confiar em input, sempre minimizar privilégio, e falhar fechado.

## Leis inegociáveis

1. **Nunca confie no input** — todo dado externo (form, query, header, arquivo, API) é hostil até validado/sanitizado no servidor.
2. **Least privilege** — cada componente/usuário tem o mínimo de acesso necessário. Credencial de DB da app não é admin.
3. **Fail closed** — em erro/dúvida, negue. Um `catch` que libera acesso é uma brecha.
4. **Defesa em profundidade** — não dependa de uma única camada; combine validação + authz + WAF + monitoração.
5. **Segredos fora do código** — nunca hardcode/logue chaves; use gerenciador de segredos e rotação.

## OWASP Top 10 — o que verificar

| Risco | Defesa |
|---|---|
| **Broken Access Control** | Autorização no servidor por objeto (IDOR!); negar por padrão; testar acesso cruzado |
| **Cryptographic Failures** | TLS everywhere; hash de senha com bcrypt/argon2; não inventar cripto |
| **Injection** (SQL/NoSQL/cmd) | Queries parametrizadas / ORM; nunca concatenar input em query/shell |
| **Insecure Design** | Threat modeling desde o design; abuse cases |
| **Security Misconfiguration** | Secure defaults; remover debug/headers verbosos; CSP |
| **Vulnerable Components** | Scan de dependências (SCA); atualizar; SBOM |
| **Auth Failures** | MFA; rate limit em login; sessão segura; senha forte |
| **Integrity Failures** | Verificar assinatura de updates/deserialização segura |
| **Logging Failures** | Logar eventos de segurança (sem PII/segredo); alertar |
| **SSRF** | Validar/allowlist URLs de saída; bloquear metadata IP |

## Autenticação & autorização

- **AuthN (quem é você)**: senhas com argon2id/bcrypt; MFA; sessões com cookies `HttpOnly`, `Secure`, `SameSite`; tokens com expiração curta + refresh. Prefira provedores testados (OAuth/OIDC) a rolar o seu.
- **AuthZ (o que você pode)**: cheque permissão **por recurso** no servidor, sempre. O erro nº1 é IDOR — `/orders/123` sem verificar se a ordem é do usuário. Nunca confie em esconder botão no front.
- **Não vaze** — mensagens de erro de login iguais para "usuário não existe" e "senha errada".

## Validação de input & output

- **Input**: allowlist (o que é permitido) > denylist. Valide tipo, tamanho, formato no servidor.
- **Output**: escape por contexto — HTML-encode contra XSS, parametrize contra SQLi, quote contra command injection.
- **Upload**: valide tipo real (magic bytes), limite tamanho, sirva de domínio isolado, nunca execute.

## Threat modeling — STRIDE

Para cada componente, pergunte:

| Letra | Ameaça | Mitigação típica |
|---|---|---|
| **S**poofing | Fingir ser outro | AuthN forte, MFA |
| **T**ampering | Alterar dados | Integridade, assinatura, authz |
| **R**epudiation | Negar ação | Logs/auditoria |
| **I**nfo disclosure | Vazar dados | Cripto, least privilege |
| **D**enial of service | Derrubar | Rate limit, timeouts, quotas |
| **E**levation of privilege | Ganhar acesso | Authz por recurso, sandbox |

## Recursos externos

| Recurso | O que pegar |
|---|---|
| [OWASP Top 10](https://owasp.org/www-project-top-ten/) | Os 10 riscos e como mitigar. |
| [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/) | Guias práticos por tema (authn, session, XSS, upload…). |
| [OWASP ASVS](https://owasp.org/www-project-application-security-verification-standard/) | Checklist de verificação por nível. |
| [NIST SSDF](https://csrc.nist.gov/projects/ssdf) | Práticas de desenvolvimento seguro. |
| [Have I Been Pwned — Pwned Passwords](https://haveibeenpwned.com/Passwords) | Bloquear senhas vazadas. |
| [Google — BeyondCorp / Zero Trust](https://cloud.google.com/beyondcorp) | Modelo de confiança zero. |

## Do / Don't

| Do | Don't |
|---|---|
| Queries parametrizadas | Concatenar input em SQL |
| Authz por recurso no servidor | Esconder botão e confiar no front |
| Segredos em vault, rotacionados | Chave no código/commit |
| Hash argon2/bcrypt | Senha em texto ou MD5/SHA1 |
| Fail closed | Liberar acesso no `catch` |

## Checklist

- [ ] Input validado no servidor (allowlist); output escapado por contexto
- [ ] Autorização por recurso testada contra IDOR/acesso cruzado
- [ ] Senhas com argon2id/bcrypt; MFA; sessão/cookie seguros
- [ ] Segredos fora do código, em vault, rotacionáveis
- [ ] Dependências escaneadas (SCA) e atualizadas
- [ ] Threat model STRIDE dos fluxos sensíveis
- [ ] Eventos de segurança logados (sem PII/segredo) e alertados