Boas práticas e segurança avançada

Agora você tem uma aplicação em que as identidades são verificadas, as senhas são corretamente armazenadas como hash e os acessos são controlados. Isso é o necessário, mas não é o suficiente. Os incidentes que lemos nos relatos quase nunca começam com "o atacante quebrou a autenticação". Eles começam com um endpoint do Actuator deixado aberto, uma chave de API em um repositório público, uma biblioteca com três anos de idade ou um stack trace de exceção exibido em produção que revelava o caminho completo do servidor.

Esses problemas têm um ponto em comum: nenhum deles é um defeito do código da aplicação. São defeitos de configuração, de operação, de higiene de dependências. Aliás, a OWASP os classifica separadamente: "configuração incorreta de segurança" e "componentes vulneráveis ou desatualizados" são duas categorias distintas do seu ranking dos dez principais riscos.

Esta última lição reúne, portanto, os elementos que não pertencem a nenhuma das anteriores, mas que decidem a solidez real do sistema: os cabeçalhos que o navegador deve receber, a forma de impor HTTPS sem provocar um loop de redirecionamento, a limitação de taxa, o logging útil (e aquele que cria o próprio vazamento), o gerenciamento de segredos e o monitoramento das dependências.