Aprenda sobre segurança
Chaves vazadas, DDoS e configurações fracas derrubam projetos. Aprenda a proteger o que você publica.
Em destaque
- ConceitosO que é ataque de força bruta e como se protegerAtaque de força bruta é testar senhas em massa até acertar uma. Veja os tipos (spraying, credential stuffing), como funcionam e as defesas com código que roda.
- Problemas e errosMinha aplicação foi invadida: o que fazer agoraSe a sua aplicação foi invadida, contenha o acesso, troque todos os segredos e preserve os logs antes de limpar. Veja a ordem certa, a causa e como voltar.
- Passo a passoChecklist de segurança para quem publica bot, site ou APIChecklist de segurança antes de publicar bot, site ou API: segredos em variáveis de ambiente, dependências, HTTPS, cabeçalhos, permissões mínimas e logs.
Conceitos3
- O que é ataque de força bruta e como se protegerAtaque de força bruta é testar senhas em massa até acertar uma. Veja os tipos (spraying, credential stuffing), como funcionam e as defesas com código que roda.
- O que é ataque DDoS e como funcionaUm ataque DDoS usa milhares de máquinas para inundar um servidor com tráfego até ele sair do ar. Veja os três tipos, como funciona e como identificar.
- O que é WAF (firewall de aplicação)WAF é um firewall de aplicação web: ele lê requisições HTTP e bloqueia ataques como SQL injection e XSS. Veja como funciona, limites e quando usar.
Passo a passo4
- Checklist de segurança para quem publica bot, site ou APIChecklist de segurança antes de publicar bot, site ou API: segredos em variáveis de ambiente, dependências, HTTPS, cabeçalhos, permissões mínimas e logs.
- Como proteger seu site ou bot contra DDoSPara se proteger de DDoS, combine mitigação na borda (CDN e WAF) com limite de requisições, timeouts e cache na aplicação. Veja o passo a passo com código.
- Como manter segredos fora do seu códigoMantenha chaves de API, tokens e senhas fora do Git: use variáveis de ambiente, ignore o .env, escaneie os commits e troque qualquer segredo que vazar.
- Chaves SSH: como funcionam e como criarUma chave SSH é um par de chaves (pública e privada) que prova quem você é sem senha. Veja como gerar uma Ed25519, usar o ssh-agent e testar no GitHub.
Problemas e erros3
- Minha aplicação foi invadida: o que fazer agoraSe a sua aplicação foi invadida, contenha o acesso, troque todos os segredos e preserve os logs antes de limpar. Veja a ordem certa, a causa e como voltar.
- Chave de API exposta no GitHub: como revogar e prevenirSubiu uma chave de API para o GitHub? Revogue primeiro, depois limpe o histórico e troque o valor. Veja o passo a passo e como evitar que se repita.
- Vazou o token do bot? O que fazer agoraSe o token do bot vazou, redefina-o no Portal do Discord (ou com /token no BotFather) antes de qualquer outra coisa. Veja a ordem certa e como checar o estrago.