← Todos os materiais
// material · TRANCAconferido em 08/10/2026

As 5 portas pra trancar no teu app

Nenhum conserto exige ser programador: exige saber o que pedir. Confere uma porta por vez e só testa o teu próprio app.

Baixar em PDF Ver o Reel
  1. 01 / 08

    Chave de API no navegador OFICIAL

    A chave que paga a tua IA vai junto com o código do site. Qualquer um copia e gasta no teu cartão.

    Checa em 1 minuto (dica prática)
    F12 > Sources > buscar em todos os arquivos: sk-
    Conserto: pede assim
    "Procure no meu projeto qualquer chave de API que vá para o navegador e mova para o servidor, em variável de ambiente."

    help.openai.com: API key safetysupport.claude.com: API key best practices

  2. 02 / 08

    Banco sem RLS OFICIAL

    Sem a regra "cada um vê só o que é seu", quem tem o endereço do projeto lê, edita e apaga a tabela.

    Checa em 1 minuto
    Painel do Supabase > Advisors > Security
    Conserto: pede assim
    "Liste as tabelas do meu Supabase sem RLS e escreva as regras para cada usuário ver e editar só os próprios dados. Me mostre antes de aplicar."

    Cuidado: A chave publicável (antiga anon) pode ir pro navegador só porque o RLS protege as tabelas. A chave secreta (antiga service_role) nunca.

    supabase.com/docs: Row Level Securitysupabase.com/docs: linter 0013

  3. 03 / 08

    Servidor sem firewall OFICIAL

    Só se tu tem servidor próprio (VPS): o firewall do Ubuntu vem desligado. Quem publica em Vercel, Netlify ou Lovable não mexe nisso.

    Checa em 1 minuto (terminal do servidor)
    sudo ufw status verbose
    Conserto: pede assim
    "Configure o firewall do meu servidor: libere só 22, 80 e 443, começando pela 22."

    Cuidado: Libera a 22 antes de ligar o firewall, senão tu te tranca pra fora do servidor.

    ubuntu.com: Firewalls (UFW)OWASP Top 10:2025 A02

  4. 04 / 08

    Formulário que aceita tudo OFICIAL

    Alguém escreve um comando no lugar do nome e o banco obedece. É o SQL injection.

    Checa em 1 minuto: pergunta pra IA que fez o app (dica prática)
    "Este projeto usa consulta parametrizada ou ORM em todas as consultas? Tem validação no servidor?"
    Conserto: pede assim
    "Troque toda consulta montada com texto por consulta parametrizada ou ORM e valide os dados no servidor."

    OWASP: SQL Injection PreventionOWASP Top 10:2025 A05

  5. 05 / 08

    Configuração de teste no ar OFICIAL

    Senha padrão, login desligado, CORS liberado pra qualquer site, segredo de teste.

    Checa antes de cada publicação
    [ ] senha padrão trocada?
[ ] login ligado?
[ ] CORS só com o teu domínio?
[ ] chaves do ar diferentes das de teste?
    Conserto: pede assim
    "Confira senhas padrão, login, CORS e chaves do meu app e me mostre tudo o que ainda está em modo de teste."

    OWASP Top 10:2025 A02OWASP: HTML5 Security (CORS)

  6. 06 / 08

    As 5 de uma vez MODELO

    Cola no teu agente e depois corrige uma por vez.

    Cola no teu agente
    "Revise meu app procurando 5 portas abertas: chave de API no navegador, tabela sem RLS, servidor sem firewall, consulta sem parâmetro e configuração de teste no ar. Me mostre a lista antes de corrigir."
  7. 07 / 08

    Insecure Defaults OFICIAL

    Da Trail of Bits, empresa de segurança. No Claude Code, caça a porta 5 sozinho. Gasta bem mais uso do plano que um comando comum.

    Dentro do Claude Code, uma linha de cada vez
    /plugin marketplace add trailofbits/skills
/plugin install insecure-defaults
/insecure-defaults:audit

    github.com/trailofbits/skills

  8. 08 / 08

    Strix COMUNIDADE

    Teste de invasão feito por IA, código aberto. Precisa de Docker e de uma chave de IA paga.

    Cuidado: Só no teu próprio app. Testar sistema dos outros sem autorização é crime na maioria dos países.

    github.com/usestrix/strix

Prosperando com IA · em breve

Quer aprender a usar tudo isso do zero?

Entrar na lista