Tema
Segurança.
21 textos sobre esse tema.
SSRF: o perigo que quase ninguém testa
Sua aplicação busca uma URL que o usuário informou. Do lado de dentro da rede, onde nada é autenticado.
→OUT 2026Assinatura digital e hash: o que cada um garante
Um responde se o conteúdo mudou. O outro responde quem produziu. Trocar os dois é o erro que faz um sistema parecer seguro sem ser.
→SET 2026Segurança no pipeline de CI/CD
O pipeline tem acesso ao código, aos segredos e à produção. É o alvo mais valioso da empresa e o menos revisado.
→SET 2026LGPD para engenheiro: o que muda no código
Não é sobre banner de cookie. É sobre modelagem de dado, retenção e a capacidade de responder perguntas que o seu sistema hoje não responde.
→SET 2026Ataque via dependência: como reduzir sua superfície
Você audita o seu código. O código que roda em produção é 95% de outras pessoas, e ninguém leu.
→SET 2026Como provar que um documento não mudou desde a emissão
Guardar o hash do PDF no seu banco não prova nada pra quem não confia em você. O desenho que fecha essa lacuna.
→SET 2026Rate limiting: token bucket, sliding window e o que usar quando
Quatro algoritmos, e a escolha muda o comportamento do seu sistema sob pico. Um deles falha de um jeito que quase ninguém prevê.
→SET 2026Cenário: o log que vazou CPF
Caso de estudo. Ninguém invadiu nada. Uma linha adicionada pra depurar um bug mandou dado pessoal pra fora por sete meses.
→SET 2026XSS: defesa em camadas no frontend moderno
React escapa por padrão, então XSS acabou. Não acabou: ele migrou pros lugares onde o escape não acontece.
→SET 2026Upload de arquivo seguro: checklist real
Aceitar arquivo do usuário é a funcionalidade que mais abre porta. Sete verificações, na ordem em que importam.
→SET 2026SQL injection em 2026: por que ainda acontece
A falha tem quase trinta anos e continua aparecendo. Não é por falta de conhecimento: é por causa dos lugares onde o ORM não alcança.
→AGO 2026Hash de senha: bcrypt, scrypt, Argon2 e os parâmetros que importam
Escolher o algoritmo é a parte fácil. Os parâmetros errados transformam a escolha certa em proteção de mentira.
→AGO 2026Segredo commitado: o que fazer nas primeiras duas horas
Acontece com todo time. O que decide o tamanho do estrago é a ordem das ações, e quase todo mundo faz na ordem errada.
→AGO 2026IDOR: a falha mais chata e mais comum de todas
Trocar o número na URL e ver o dado de outra pessoa. Não precisa de ferramenta, não precisa de conhecimento, e continua em toda parte.
→AGO 2026Audit trail que aguenta uma auditoria de verdade
Quase todo sistema tem uma tabela de log de alteração. Quase nenhuma responde as perguntas que aparecem quando a auditoria chega.
→AGO 2026JWT: os erros que aparecem em quase todo projeto
Token assinado não é token seguro. Sete problemas que eu encontro com frequência desconfortável, e como consertar cada um.
→AGO 2026Autenticação e autorização: confundir os dois custa caro
Saber quem é a pessoa e saber o que ela pode fazer são problemas separados. A maioria dos vazamentos mora na segunda parte.
→AGO 2026Modelagem de ameaças em uma hora, com post-it
Dá pra fazer sem consultoria, sem framework de quatro letras e sem ninguém com cargo de segurança no time.
→AGO 2026Como eu enxergo a arquitetura do WhatsApp
Criptografia ponta a ponta não é uma funcionalidade. É uma restrição que decide o que o servidor pode fazer, e ela simplifica mais do que complica.
→AGO 2026O que é hash criptográfico, explicado para quem constrói sistema
Sem analogia de liquidificador. O que a função garante, o que ela não garante, e onde o uso errado aparece em produção.
→AGO 2026Como construir aplicações seguras: o guia que eu queria ter lido
A maioria dos incidentes não vem de ataque sofisticado. Vem de permissão mal desenhada e de coisa que ninguém revisou.
→