As ameaças que acabam numa violação, explicadas.
Um guia em linguagem simples das ameaças à segurança web que realmente importam: o que é cada uma, o que um atacante pode levar e como é detida. Pesquise, aprenda e depois faça a varredura do seu próprio site para ver quais tem.
- Linguagem simples, sem jargão
- O que um atacante pode levar
- A gravidade num relance
- Faça a varredura do seu site grátis
As ameaças que realmente atingem as pequenas apps web.
A maioria dos sites não é invadida por um exploit inédito: cai pelo mesmo punhado de erros de sempre: uma chave vazada no código do cliente, um endpoint que confia na entrada do usuário, um bucket de armazenamento deixado público, um login sem limite de requisições. Esta é uma referência em linguagem clara das ameaças de segurança web que mais vemos, ordenadas por gravidade, com o que um atacante ganha e como você fecha cada uma. Pesquise nela, ou faça a varredura do seu próprio site para ver quais se aplicam a você.
Base de conhecimento de ameaças.
Pesquise as ameaças ou percorra a lista. Cada uma mostra o que é, o que um atacante pode levar e como o Defenso a detém.
O que é. A entrada do utilizador é concatenada diretamente numa consulta à base de dados, permitindo que um atacante a reescreva.
O que um atacante pode levar. Toda a sua base de dados: registos de utilizadores, hashes de palavras-passe, encomendas, tudo o que está armazenado.
Como o Defenso a detém. O WAF gerido bloqueia os payloads de injeção, e o scanner assinala as consultas inseguras com uma correção.
O que é. Uma chave real ou um .env submetido no seu código ou exposto no seu site em produção.
O que um atacante pode levar. A sua conta na cloud, o seu fornecedor de pagamentos ou a sua base de dados, com acesso total, em minutos.
Como o Defenso a detém. As varreduras de repositório e de site encontram as chaves expostas, e cada resultado explica como as rodar.
O que é. Uma rota publicada sem verificação de início de sessão, de modo que qualquer um pode alcançá-la diretamente.
O que um atacante pode levar. Tudo o que a rota expõe: painéis de administração, dados de outros utilizadores, ações internas.
Como o Defenso a detém. O pentest sonda as rotas desprotegidas e o WAF pode blindar os caminhos sensíveis.
O que é. Um bucket S3 ou de armazenamento deixado legível por todos.
O que um atacante pode levar. Todos os ficheiros nele: uploads de clientes, backups, faturas, documentos privados.
Como o Defenso a detém. A varredura do repositório assinala as referências a buckets que aparecem como públicas antes de vazarem.
O que é. Um script que um atacante coloca é executado no navegador dos seus utilizadores.
O que um atacante pode levar. Cookies de sessão e contas com sessão iniciada, permitindo-lhes agir como os seus utilizadores.
Como o Defenso a detém. O WAF bloqueia o XSS refletido e armazenado, e o scanner verifica os seus cabeçalhos e as suas entradas.
O que é. O servidor é enganado para buscar URLs internos em que nunca deveria tocar.
O que um atacante pode levar. Metadados da cloud e serviços internos, muitas vezes um caminho para a tomada total da conta.
Como o Defenso a detém. O WAF bloqueia os payloads de SSRF e o pentest procura este padrão.
O que é. Palavras-passe vazadas de outras violações são testadas em massa contra o seu início de sessão.
O que um atacante pode levar. Qualquer conta cujo dono reutilizou uma palavra-passe comprometida.
Como o Defenso a detém. Limites de velocidade por conta e tetos anti-força-bruta detêm a enxurrada logo à porta.
O que é. Altere um id no URL e passa a ler o registo de outra pessoa.
O que um atacante pode levar. Os dados de outros utilizadores, um id de cada vez, em silêncio.
Como o Defenso a detém. O pentest testa os padrões de acesso a objetos e assinala o que está exposto.
O que é. Uma ligação no seu domínio reencaminha discretamente os utilizadores para a página de um atacante.
O que um atacante pode levar. A confiança: é usada para fazer phishing aos seus próprios utilizadores de forma convincente.
Como o Defenso a detém. O scanner assinala os parâmetros de redirecionamento aberto nos seus URLs.
O que é. Um pacote com vulnerabilidade conhecida que o seu projeto ainda inclui.
O que um atacante pode levar. Tudo o que essa CVE permitir, por vezes execução remota de código.
Como o Defenso a detém. A varredura do repositório verifica cada lockfile contra a base de dados OSV, com a versão corrigida.
O que é. Sem HSTS, CSP ou X-Frame-Options, o que facilita os ataques comuns.
O que um atacante pode levar. Não diretamente, mas remove as barreiras que travam o XSS e o clickjacking.
Como o Defenso a detém. O scanner classifica os seus cabeçalhos e entrega-lhe as linhas exatas a adicionar.
O que é. Palavras-passe guardadas em texto simples, ou tokens que qualquer um consegue adivinhar.
O que um atacante pode levar. Cada palavra-passe e cada sessão, utilizáveis diretamente.
Como o Defenso a detém. A varredura e o pentest assinalam o armazenamento fraco e os tokens previsíveis.
Conheça a ameaça e feche-a num só lugar.
Ler sobre uma vulnerabilidade só é útil se você puder agir sobre ela. Cada entrada nomeia aqui a ameaça nos termos que você pesquisaria (injeção SQL, XSS, SSRF, IDOR, preenchimento de credenciais, segredos expostos, buckets abertos) e depois diz, concretamente, o que um atacante ganha e qual é a correção. É o OWASP Top 10 e os erros de vibe coding ao redor dele, escrito para quem lançou uma app e agora precisa protegê-la, não para um auditor.
A Defenso cobre essas ameaças diretamente. O WAF gerenciado bloqueia as classes de injeção e de traversal na borda da sua app; limites de requisições por endpoint e por conta detêm a força bruta e o preenchimento de credenciais; o pentest e as varreduras de repositório trazem à tona segredos expostos, armazenamento aberto, dependências vulneráveis e cabeçalhos de segurança ausentes antes que um atacante os encontre. Você não fica com uma lista de problemas e sem meios de corrigi-los.
A forma mais rápida de saber quais dessas ameaças se aplicam a você é olhar. Rode o scanner gratuito contra o seu site em produção para um relatório de superfície com nota, ou conecte o repositório para capturar chaves vazadas e padrões arriscados no próprio código. Depois, o WAF gerenciado e o monitoramento continuam vigiando, de modo que uma ameaça que surge após o lançamento (um novo CVE de dependência, uma rota recém-exposta) chega até você como um alerta em vez de uma brecha.
Perguntas frequentes.
Tudo o que se pergunta antes de começar. Ainda em dúvida? Estamos a uma mensagem.
As que mais atingem os sites reais são a injeção SQL, o cross-site scripting (XSS), o server-side request forgery (SSRF), os segredos e chaves API expostos, os buckets de armazenamento legíveis publicamente, a autenticação quebrada e o preenchimento de credenciais, o acesso direto inseguro a objetos (IDOR), as dependências vulneráveis e os cabeçalhos de segurança ausentes. A referência acima lista cada uma com o que um atacante ganha e como corrigi-la.
Sobrepõe-se bastante ao OWASP Top 10 (injeção, controle de acesso quebrado, má configuração de segurança, componentes vulneráveis e o resto), mas é escrito para desenvolvedores que acabaram de lançar uma app, não para auditores. Também cobre os erros modernos de vibe coding que o OWASP não nomeia diretamente, como um segredo commitado num repositório público ou uma regra do Firebase ou do S3 deixada totalmente aberta.
Rode o scanner gratuito contra a sua URL em produção para um relatório de superfície com nota (ele verifica o TLS, os cabeçalhos de segurança, os arquivos expostos e as más configurações comuns), ou conecte o seu repositório para que a varredura encontre chaves vazadas e padrões de código arriscados. Ambos funcionam sem assinar um plano pago, e o relatório diz quais dessas ameaças se aplicam atualmente.
Ambos. O WAF gerenciado bloqueia injeção, traversal e muitos ataques movidos por bots na borda da sua app em tempo real, e os limites de requisições por endpoint detêm a força bruta e o preenchimento de credenciais. O pentest e as varreduras de repositório e de upload reportam os problemas que você corrige no código (segredos expostos, buckets abertos, dependências vulneráveis, cabeçalhos fracos) para que detecção e prevenção trabalhem juntas.
Sim. As varreduras agendadas verificam o seu site de novo, e quando um novo achado aparece entre as varreduras (uma rota recém-exposta, uma dependência com um novo CVE), a Defenso avisa você por email, Slack, Telegram e o app do celular. Você fica sabendo da mudança como um alerta, em vez de descobri-la após uma brecha.
Quais destas é que você tem?
Ler sobre ameaças é uma coisa. Faça a varredura do seu próprio site grátis e veja exatamente quais estão nele, com uma correção para cada uma.