Resultados de aprendizagem

1. Reconhecer vulnerabilidades comuns (OWASP Top 10).
2. Aplicar validação e sanitização de input.
3. Implementar autenticação e gestão de sessão seguras.
4. Proteger secrets e credenciais.

OWASP Top 10 (2021/2023)

1. Broken Access Control
2. Cryptographic Failures
3. Injection (SQL, NoSQL, OS, LDAP)
4. Insecure Design
5. Security Misconfiguration
6. Vulnerable and Outdated Components
7. Identification and Authentication Failures
8. Software and Data Integrity Failures
9. Security Logging and Monitoring Failures
10. Server-Side Request Forgery (SSRF)

Injection · SQL injection

# ERRADO
nome = request.form["nome"]
query = f"SELECT * FROM users WHERE nome = '{nome}'"
cursor.execute(query)

# Input malicioso: nome = "Ana' OR '1'='1"
# Resulta em: SELECT * FROM users WHERE nome = 'Ana' OR '1'='1'
# Devolve TODOS os utilizadores

# CORRECTO — prepared statement
cursor.execute("SELECT * FROM users WHERE nome = %s", (nome,))

Driver da BD escapa automaticamente. Nunca concatenar.

XSS · Cross-Site Scripting

<!-- ERRADO: insere HTML do utilizador sem escapar -->
<p>Olá, {{ nome }}!</p>

<!-- Input malicioso: nome = <script>alert('XSS')</script> -->

Frameworks modernos (Jinja2, React, Vue) escapam por defeito. Cuidado com |safe, dangerouslySetInnerHTML, v-html.

Armazenar palavras-passe

NUNCA em texto plano. NUNCA em MD5/SHA1.

# CORRECTO — bcrypt
import bcrypt

# Hashing
pwd = "senha-do-utilizador"
hashed = bcrypt.hashpw(pwd.encode(), bcrypt.gensalt(rounds=12))

# Verificar
if bcrypt.checkpw(pwd.encode(), hashed):
    print("Login OK")

bcrypt, scrypt e argon2 são adequadas. Salt automático, lento intencionalmente (resistente a brute-force).

MFA · multi-factor authentication

Algo que sabes (senha) + algo que tens (telefone, chave) + algo que és (biometria).

• TOTP (Google Authenticator, Authy) — codigo de 6 dígitos rotativo.
• WebAuthn / FIDO2 — chave física (YubiKey) ou Touch ID.
• SMS — menos seguro (SIM swap), mas melhor que nada.

Em 2026, MFA é obrigatório em qualquer serviço que mexa com dados.

Sessões seguras

# Flask
app.config.update(
    SESSION_COOKIE_HTTPONLY=True,   # JS não acede
    SESSION_COOKIE_SECURE=True,     # só HTTPS
    SESSION_COOKIE_SAMESITE="Lax",  # protege CSRF
    PERMANENT_SESSION_LIFETIME=timedelta(hours=2),
)

Ou usar JWT com expiração curta + refresh token. Cuidados: token comprometido = acesso até expirar.

Validação no servidor

Validação no cliente (browser) é só UX — pode ser ignorada com curl/Postman.

# Pydantic (FastAPI)
from pydantic import BaseModel, EmailStr, Field

class RegistarUtilizador(BaseModel):
    email: EmailStr
    nome: str = Field(min_length=2, max_length=100)
    idade: int = Field(ge=13, le=120)
    password: str = Field(min_length=10)

Servidor rejeita input inválido com 400 Bad Request.

Sanitização

Diferente de validação. Sanitização limpa input mantendo-o funcional.

import bleach

# Remove tags HTML excepto whitelist segura
html_seguro = bleach.clean(
    user_html,
    tags=["p", "b", "i", "a"],
    attributes={"a": ["href"]}
)

Use bleach (Python), DOMPurify (JS) para conteúdo gerado por utilizador.

.env e gitignore

# .gitignore
.env
secrets.json
*.pem
*.key
config.local.py

# .env (NÃO comita)
DATABASE_URL=postgres://user:pass@host/db
SECRET_KEY=k9sj3...
SMTP_PASSWORD=...

# main.py
import os
from dotenv import load_dotenv

load_dotenv()
db_url = os.environ["DATABASE_URL"]

Secrets em produção

• Variáveis de ambiente (12-factor app).
• Cofres de secrets: Vault (Hashicorp), AWS Secrets Manager, Azure Key Vault.
• Rotação periódica — senhas mudadas a cada 90 dias.
• Mínimo privilégio — cada serviço só com permissões que precisa.

Se um secret é commitado por engano:

1. Revogá-lo imediatamente (não basta apagar do Git).
2. Histórico Git mantém — usar git filter-repo para limpar.
3. Mudar todas as credenciais possivelmente comprometidas.

Vulnerable dependencies

70% do código moderno é de terceiros. Vulnerabilidade na lib = vulnerabilidade na app.

Ferramentas:

• pip-audit (Python) — lista CVEs em pacotes.
• npm audit (Node).
• Dependabot (GitHub) — alerta e cria PRs.
• Snyk, Renovate — alternativas.

Boa prática: review semanal de alertas, actualizar prontamente.

Supply chain attacks

Atacante consegue publicar package legítimo malicioso (typosquatting) ou comprometer mantenedor genuíno.

Mitigação:

• Pin de versões em requirements.txt (==1.2.3).
• Lock files (poetry.lock, package-lock.json).
• SBOM (Software Bill of Materials).
• Cuidado com pip install pkg sem verificar.