Segurança do app
Aula 18 de 26 do curso “Vibe coding”. Grátis, com animações e teste.
Erro 1: chave no código
A IA escreve código que funciona, mas nem sempre seguro. Exemplo da aula: você fez um ajudante de lição de casa com IA para a sua série. O esquema mostra erros comuns: um X vermelho e, ao lado, a correção com um visto. Erro 1: a chave de uma API de IA paga está no front-end ou num repositório público. Robôs varrem o GitHub sem parar e acham chaves rápido. Vazou? Revogue a chave no painel do serviço na hora e crie outra.
Erros 2 e 3: portas abertas
Erro 2: banco sem regras de acesso, como o RLS da aula de banco de dados. Aí qualquer um baixa os dados de todos os alunos. Erro 3: o painel de admin, a página que gerencia o site, está escondido só por não ter botão. O endereço /admin dá para digitar na mão do mesmo jeito. A checagem “é mesmo admin?” tem que rodar no servidor a cada requisição, não só na interface.
Erro 4: confiar no navegador
Erro 4: confiar no que o navegador envia. Tudo no front-end está no computador do usuário. Com as ferramentas de desenvolvedor (tecla F12) ele muda qualquer requisição: o preço, o próprio id, o papel “admin”. A regra: o servidor confere quem mandou e se pode, e calcula ele mesmo preços e pontos. No esquema quem decide é o servidor, não o navegador.
Erro 5: sem limites
Erro 5: sem limites. Cada pergunta ao ajudante de IA custa dinheiro para você, e um robô pode fazer milhares numa noite. Rate limit (limite de frequência) define quantas requisições um usuário pode fazer por minuto; o resto recebe “aguarde”. Exemplo: 20 perguntas por minuto por aluno sobram. Onde o serviço de IA permitir, coloque também um limite de gastos no painel dele.
Erro 6: bibliotecas furadas
Erro 6: dependências furadas. Dependências são bibliotecas de outras pessoas que o npm install baixa (a segunda linha do esquema). Em versões antigas aparecem vulnerabilidades, ou seja, brechas para ataques, então mantenha tudo atualizado. Use pacotes conhecidos. A armadilha: a IA às vezes inventa o nome de um pacote que não existe, e atacantes registram esses nomes com código malicioso. Pacote estranho? Confira se é real e popular.
Dados pessoais e revisão
Dados pessoais são tudo o que identifica alguém, como nome, e-mail ou telefone. Colete só o que o app precisa para funcionar: um ajudante de lição de casa só precisa do e-mail. Escreva uma política de privacidade curta: o que você coleta e por quê. Antes do lançamento, peça ao agente: “revise a segurança do projeto com esta lista”. Mas confira você mesmo o “tudo certo” dele, seguindo o esquema.
Teste-se
- Sua chave da API de IA foi parar num repositório público. O que fazer primeiro?
Resposta certa: Revogar a chave no painel e criar uma nova. O Git lembra o histórico, e robôs podem ter copiado a chave. Só revogar deixa a chave antiga inútil. - O preço chegou numa requisição do navegador. Dá para confiar?
Resposta certa: Não, o servidor deve calcular o preço. O front-end roda no computador do usuário, e ele pode mudar qualquer requisição. O https protege o caminho, não a honestidade de quem envia. - Por que um ajudante de IA precisa de rate limit?
Resposta certa: Para um robô não fazer milhares de requisições pagas. Cada requisição à IA custa dinheiro. O limite de frequência impede que um usuário ou robô queime seu orçamento.
← Tarefas em segundo plano e agendamento Mapa dos agentes de IA →