Aprenda
Início do módulo

Segurança web

Como autenticação (sessão, cookie, bearer, JWT) funciona de verdade — e os ataques mais comuns contra ela.

16 lições288 min no total0% concluído
Começar trilha →

Fundamentos

O suficiente pra usar na prática sem se machucar.

8 lições · 139 min
  1. 1Por que segurança não é feature opcional'Depois a gente adiciona segurança' é uma frase que só funciona se segurança fosse uma tela a mais — não é.16 min
  2. 2Autenticação por sessão e cookie: o mecanismo clássico'O navegador manda o cookie sozinho' esconde um mecanismo inteiro — vale entender o que acontece entre o login e a segunda requisição.18 min
  3. 3Os atributos de cookie que decidem sua segurançaHttpOnly, Secure e SameSite parecem detalhe de configuração — são, na prática, a diferença entre uma sessão protegida e uma sequestrável.17 min
  4. 4Autenticação por bearer tokenNenhum navegador reenvia um bearer token sozinho — e é exatamente essa diferença que muda o cálculo de segurança inteiro.17 min
  5. 5JWT: o token que carrega a própria assinaturaUm JWT não esconde nada de quem o lê — ele só prova que ninguém alterou o que está escrito ali.18 min
  6. 6Por que senha nunca é armazenada em texto puro (nem 'criptografada')'A senha está criptografada no banco' é a frase mais comum e mais tecnicamente errada sobre segurança.17 min
  7. 7XSS: quando o input de alguém vira código rodando na tela de outra pessoaUm campo de comentário sem sanitização não é um problema visual — é uma porta pra rodar JavaScript arbitrário na sessão de outra pessoa.18 min
  8. 8CSRF: quando o navegador da vítima ataca por elaO atacante nunca vê a senha, nem o cookie — ele só precisa fazer o navegador da vítima disparar uma requisição por ele.18 min

Intermediário

O que fundamentos deixou em aberto — produção, performance, casos reais.

8 lições · 149 min
  1. 1SQL injection: quando input vira comando de bancoA frase que uma pessoa digita num campo de busca não deveria ter poder nenhum sobre a QUERY em si — quando tem, é injeção de SQL.18 min
  2. 2IDOR: quando autenticação existe mas autorização nãoTrocar um número na URL não deveria abrir a porta do vizinho — mas é exatamente isso que IDOR permite.18 min
  3. 3Força bruta: tentando senha até acertar — e como travar issoSem limite nenhum, adivinhar senha vira só uma questão de quantas tentativas por segundo o atacante consegue automatizar.17 min
  4. 4Política de senha e um fluxo seguro de 'esqueci minha senha'Exigir símbolo e maiúscula obrigatórios protege menos do que parece — e um reset de senha mal feito é uma porta de entrada por si só.18 min
  5. 5Cabeçalhos HTTP que blindam sua aplicaçãoUm punhado de headers de resposta faz o navegador da vítima recusar sozinho boa parte dos ataques mais comuns.17 min
  6. 6Man-in-the-middle: por que HTTPS não é opcionalTodo cookie, token e senha que sua aplicação manda passa por uma rede que você não controla — a pergunta é só quem mais está olhando.17 min
  7. 7OAuth: como funciona o 'Entrar com Google'Seu aplicativo nunca vê a senha do Google do usuário — e é justamente esse design que torna login social mais seguro do que parece à primeira vista.19 min
  8. 8Projeto guiado: endurecendo uma API vulnerávelUma API de pedidos fictícia, cheia de falhas discutidas nesta trilha, corrigida uma a uma — fechando fundamentos e intermediário juntos.25 min