mitmproxy: como inspecionar tráfego HTTPS com segurança
Aprenda o que é o mitmproxy e como ele ajuda a depurar APIs, aplicativos e integrações HTTP. Veja instalação, exemplo prático, riscos e boas práticas para usar um proxy de interceptação.
Códex CLI e o daemon persistente: o que desenvolvedores precisam avaliar
Uma issue no repositório oficial do Códex CLI colocou um comportamento de segundo plano no centro do debate. Entenda os riscos e como testar ferramentas de IA com mais controle.
Ghidra: como analisar binários com a ferramenta open source da NSA
O Ghidra é um conjunto open source para engenharia reversa e análise de software. Veja como instalar, importar um binário, interpretar funções e usar a ferramenta com segurança em estudos autorizados.
Microsoft Execution Containers: mais controle para agentes de IA
O Microsoft Execution Containers 1.0.0 propõe uma camada de contenção orientada por políticas para execuções de agentes de IA. Entenda a ideia, os limites do anúncio e como avaliar esse tipo de arquitetura com segurança.
Talorys: agente de IA pessoal auto-hospedado no Cloudflare
Talorys é um projeto open source que apresenta um agente de IA pessoal hospedado na infraestrutura gratuita do Cloudflare. Veja a proposta, como avaliar o código e quais cuidados tomar antes de colocar um agente na sua rotina.
Kubernetes etcd: entenda o banco que guarda o estado do cluster
O etcd é uma peça central do Kubernetes: ele guarda o estado desejado e observado do cluster. Entenda seu papel, os riscos de operação e boas práticas para administradores e desenvolvedores.
Gitleaks: como detectar segredos expostos no código e no Git
Aprenda a usar o Gitleaks para encontrar chaves, tokens e senhas acidentalmente salvos em repositórios. O guia mostra como rodar a ferramenta localmente e integra-la ao CI sem bloquear o time por engano.
Containers Linux por dentro: namespaces, cgroups e seccomp
Um projeto didático mostra como montar um container Linux com poucas centenas de linhas. Entenda namespaces, capabilities, cgroups e seccomp, além dos limites de segurança dessa abordagem.
Trivy: como encontrar vulnerabilidades em containers e código
Aprenda a usar o Trivy para detectar vulnerabilidades, segredos, erros de configuração e SBOM em projetos modernos. Veja uma instalação simples, exemplos de CI e limites que exigem revisão humana.
Git 3.0 e SHA-256: por que tornar o novo hash padrão pode ser um erro
O GitButler publicou um artigo argumentando que o plano do Git 3.0 de tornar SHA-256 o algoritmo padrão seria um erro caro. Entenda a diferença entre SHA-1 e SHA-256 no Git, por que a migração e mais complexa do que parece e o que isso significa para quem usa Git no dia a dia.
1 em cada 5 pacotes sugeridos por IA não existem e hackers já exploram isso
Pesquisas mostram que cerca de 1 em cada 5 pacotes sugeridos por ferramentas de IA não existem. Cibercriminosos estão registrando esses nomes falsos com malware. Entenda o risco e como se proteger.
Nvidia quer colocar chip watchdog em cada agente de IA
A Nvidia anunciou planos para desenvolver chips watchdog dedicados a monitorar agentes de IA em tempo real. Entenda como funciona essa camada de segurança de hardware, por que as empresas precisam dela e o que isso muda para desenvolvedores que trabalham com IA.
Prompt Injection: o novo SQL Injection que todo dev precisa conhecer
Prompt Injection e o ataque que manipula sistemas de IA para ignorar suas instruções originais. Entenda como funciona, por que é tao perigoso quanto SQL Injection e como proteger suas aplicações com LLMs.
Infisical: o cofre de API keys que substitui o arquivo .env da sua aplicação
Infisical é uma plataforma open source para guardar e distribuir segredos (API keys, senhas de banco, tokens) com sincronização para Docker, Kubernetes, CI/CD e nuvem. Veja como instalar, usar a CLI no lugar do .env e quando ele vale mais que o HashiCorp Vault.
ChatGPT agora rastreia o que você faz em outros sites via anúncios
A OpenAI começou a usar dados de coletores de anúncios para rastrear atividades dos usuários fora do ChatGPT. Entenda como isso funciona, quais dados são coletados e como se proteger.
Bitwarden: o gerenciador de senhas open source que devs confiam para guardar credenciais
Bitwarden e um gerenciador de senhas open source com apps para navegador, desktop, mobile e linha de comando. Veja como ele funciona, seus recursos de segurança e como começar a usar gratuitamente.
AI Observability: como monitorar aplicações com inteligência artificial
Entenda o que é AI Observability, quais sinais monitorar e como criar uma rotina prática para acompanhar qualidade, custo, latência e segurança de aplicações com IA.
Hister: busca privada para páginas e arquivos locais
Conheça o Hister, um mecanismo de busca privado para páginas visitadas e arquivos mantidos no computador. Veja como a proposta funciona e quais cuidados tomar antes de usar.
Ghidra: o framework de engenharia reversa da NSA que virou padrão
Conheça o Ghidra, o framework de engenharia reversa criado pela NSA e liberado como open source. Veja como funciona, como começar e quando vale a pena usar.
Nuclei: o scanner de vulnerabilidades open source que virou padrão em pentest
Nuclei e um scanner de vulnerabilidades rápido e customizavel, construido em Go e baseado em templates YAML. Entenda como ele funciona, como instalar e por que virou ferramenta essencial para quem trabalha com segurança ofensiva.
Engenharia reversa de firmware: reescrevendo um patinete em Rust
Um desenvolvedor abriu o firmware de um patinete elétrico, mapeou o protocolo de comunicação e reescreveu tudo em Rust do zero. Veja o passo a passo técnico e o que aprender sobre engenharia reversa de hardware embarcado.
Ataque de agentes de IA ao RubyGems: lições para devs
Um relatório público descreve como agentes de IA usaram o RubyGems para publicar pacotes, acionar builds e tentar explorar credenciais. Veja o que o caso ensina sobre dependências, automação e defesa na cadeia de software.
Microsoft classifica Rust como linguagem Tier 1
A Microsoft elevou o Rust ao status de linguagem Tier 1, ao lado de C, C++ e C#. Entenda o que isso significa na prática, onde a empresa já usa Rust hoje e por que isso importa para quem programa sistemas críticos.
4.000 BTC sumidos: o bug que drenou US$ 320 milhões da Liquid Network em 2026
Em setembro de 2026, um inflation bug no software Elements da Blockstream permitiu criar 4.000 BTC do nada na Liquid Network. Entenda o ataque, o mecanismo de peg-in/peg-out, a controvérsia dos white hats e o que isso muda para quem usa sidechains Bitcoin.
Firefox no iOS ganha bloqueador nativo: como funciona e quais são os limites
O Firefox para iOS ganhou uma opção integrada para bloquear muitos anúncios de terceiros e rastreadores relacionados. Veja como o recurso funciona, como ativá-lo e por que ele não promete esconder todos os anúncios da web.
OpenAI Usage API: como acompanhar o uso por chave
A Usage API da OpenAI ajuda a separar o consumo da organização por chave, projeto e modelo. Veja como ler os dados, evitar conclusões erradas sobre custos e montar um acompanhamento útil para a equipe.
C++26: hardening da biblioteca padrão para código mais seguro
Experimentos de hardening no C++26 buscam tornar erros de uso da biblioteca padrão mais fáceis de detectar. Entenda como funciona, o que testar na CI e quais limites permanecem.
Máquinas de estado em Rust: Typestate e Newtype na prática
Entenda como os padrões Typestate e Newtype modelam estados válidos em Rust. Veja um exemplo prático e descubra quando essa abordagem reduz bugs sem transformar o código em um labirinto.
Qubes OS corrige execução de código via erro do qvm-copy-to-vm
O Qubes OS publicou o QSB-118, que descreve uma falha no tratamento de erros do qvm-copy-to-vm. Entenda como um qube comprometido poderia injetar comandos no dom0 e quais atualizações devem ser aplicadas.
Fuzzer encontra bug de divisão por zero no FFmpeg
Um relato recente mostra como um fuzzer criado com apoio de código gerado encontrou um bug de divisão por zero no FFmpeg. Veja como esse tipo de teste funciona e como aplicar a ideia em projetos de mídia.
Como a IA devolveu o controle de um tablet Fire HD
Um relato mostra como quatro modelos de IA ajudaram a recuperar o controle de um tablet Fire HD usado como quiosque doméstico. O caso ensina sobre diagnóstico, revisão entre agentes, orçamento e os riscos de mexer em firmware e permissões.
ATProto Spaces: como criar dados privados em apps abertos
O ATProto Spaces é uma extensão alpha para armazenar e sincronizar dados não públicos com identidade portátil. Veja como ele funciona, onde pode ser útil e por que ainda não deve ser usado em produção.
Crate Rust arrayref comprometido: como se proteger do ataque
O crate arrayref recebeu uma versão comprometida que puxava o pacote typosquat proc-macro1 e executava um payload durante o build. Veja como verificar seu Cargo.lock, conter o risco e melhorar a segurança da cadeia de dependências.
Copilot revisou falha de CI e o Red Agent encontrou o risco
Um caso analisado pela Wiz mostra como uma falha de injeção em GitHub Actions chegou a um repositório público e passou por uma revisão assistida por IA. Entenda o que aconteceu e como proteger seus workflows de CI/CD.
HEIR: IA privada com criptografia homomórfica na prática
O Google apresentou o HEIR, um compilador open source para criar inferência de IA com dados cifrados. Entenda como a criptografia homomórfica funciona, onde o projeto ajuda e quais limites ainda importam.
KeepVibe Coding Safe: seguranca automatizada para apps Supabase e Lovable
Conheca o KeepVibe Coding Safe, plataforma especializada em analise de vulnerabilidades para projetos desenvolvidos com Supabase e Lovable, identificando falhas criticas em aplicacoes no-code e low-code.
Web3Hub Vault: o cofre digital para criptoativos e credenciais de sistemas que protege empresas inteiras
O Web3Hub Vault vai alem de um simples cofre de criptomoedas. Descubra como a plataforma protege credenciais, API keys e connection strings de dezenas de projetos da Curitiba Software com criptografia AES-256-GCM e planos flexiveis.
uBlock Origin desiste de bloquear anúncios no Facebook
O uBlock Origin anunciou que vai parar de tentar bloquear anúncios no Facebook. Entenda por que a batalha ficou insustentável, o que muda para quem usa o bloqueador e quais alternativas existem para proteger sua privacidade online.
F*: a linguagem de programação orientada a provas de segurança e verificação formal
Conheça F*, a linguagem funcional desenvolvida pela Microsoft Research e Inria para verificação formal de código. Aprenda como provar matematicamente a correção de softwares críticos.
LLM Honeypot: como usar IA para atrair e expor hackers
Honeypots tradicionais fingem ser sistemas vulneráveis para atrair atacantes. Os LLM Honeypots vao além: usam modelos de linguagem para simular conversas, enganar bots maliciosos e coletar inteligência sobre as técnicas de ataque em tempo real.
CVE-2026-42533: falha crítica no NGINX pode derrubar servidores
Uma falha crítica no NGINX (CVE-2026-42533) pode derrubar servidores e, em condições específicas, permitir execução remota de código. Entenda o que causa a vulnerabilidade e como se proteger.
AI worms em documentos: como malware se propaga via Copilot e LLMs embutidos
Pesquisadores demonstraram que prompts maliciosos embutidos em documentos Word podem se autopropagar através do Copilot for Word, infectando outros arquivos sem interação humana. Entenda como esse vetor de ataque funciona e o que você pode fazer para se proteger.
DMARC: por que 68% dos domínios ainda ignoram esse protocolo essencial
DMARC existe desde 2012 e protege seu domínio contra phishing e spoofing de e-mail. Mesmo assim, mais de 68% dos domínios na internet ainda não ativaram a política de bloqueio. Entenda como funciona, como configurar e por que isso importa para qualquer dev ou empresa.
MAI-Cyber 1: a IA da Microsoft criada para atacar e defender sistemas
A Microsoft lançou o MAI-Cyber 1, um modelo de IA especializado em cibersegurança ofensiva e defensiva. Entenda o que ele faz, como funciona e o que isso significa para o mercado de segurança digital.
GrapheneOS: o celular que se apagou no aeroporto e gerou prisão nos EUA
Um cidadão americano foi preso depois que seu celular com GrapheneOS apagou os dados durante uma busca no aeroporto. Entenda o que é o GrapheneOS, como funciona o recurso de apagamento automático e o que isso significa para desenvolvedores que se preocupam com privacidade.
Cloudflare lança opcoes para controlar crawlers de IA no seu site
A Cloudflare lançou novas opcoes que dao aos donos de sites controle granular sobre como bots de IA acessam seu conteúdo. Você pode bloquear scrapers de treino, cobrar pelo acesso ou liberar apenas leitura. Veja como funciona e como configurar.
Camera de segurança da Hanwha enviava GitHub admin token na página de login
Uma camera de segurança da Hanwha foi descoberta enviando um token de administrador do GitHub diretamente na sua página de login. O bug expunha credenciais corporativas a qualquer pessoa que abrisse o painel de autenticação do dispositivo. Entenda o que aconteceu, o impacto real e o que aprender sobre segurança em dispositivos IoT.
Sanitização de HTML: por que HTML simples pode ser inseguro
O debate do Reddit sobre bloquear HTML simples revela uma verdade importante: mesmo tags HTML aparentemente inofensivas podem ser vetores de XSS. Aprenda como funciona a sanitização de HTML, quais bibliotecas usar e como proteger sua aplicação web de forma prática.
git --end-of-options: a flag que todo dev deveria conhecer
A flag --end-of-options do git resolve um problema clássico de segurança: argumentos começando com hifens sendo interpretados como opcoes em vez de nomes de arquivos ou commits. Aprenda quando e como usar essa flag subestimada em scripts e pipelines de CI/CD.
Passkeys: por que a autenticação sem senha ainda confunde os usuários
Passkeys prometem eliminar senhas para sempre, mas a experiência real tem frustrado muitos usuários. Entenda como o padrão FIDO2 funciona, onde ele acerta e por que o modelo mental ainda e um problema real para quem não e dev.
OpenAI e Hugging Face: o que aconteceu no incidente de segurança
OpenAI e Hugging Face sofreram um incidente de segurança durante a avaliação de modelos em julho de 2026. Entenda o que aconteceu, qual foi o impacto e o que as empresas fizeram para responder.
Gemini 3.6 Flash e 3.5 Flash Cyber: o que mudou para devs
O Google lançou Gemini 3.6 Flash, 3.5 Flash-Lite e 3.5 Flash Cyber em julho de 2026. Entenda o que mudou em cada modelo, qual usar no seu projeto e como a variante Cyber muda o jogo para quem trabalha com segurança.
Monitores LG instalam software sem aviso via Windows Update
Descobriu-se que monitores LG instalavam programas no seu PC sem pedir permissão, usando a infraestrutura do Windows Update. Entenda o que aconteceu, como verificar se você foi afetado e como se proteger.
Decoy Font: a fonte tipográfica que rastreia vazamentos de documentos
O Decoy Font gera versões ligeiramente diferentes de uma fonte para cada destinatário de um documento - uma assinatura invisível para detectar quem vazou informações confidenciais. Entenda como funciona, como implementar e quando usar.
Dependabot agora tem cooldown para atualizações: o que muda no seu workflow
O GitHub anunciou um período de carência padrão para o Dependabot ao sugerir atualizações de versão de pacotes. Entenda como funciona essa nova política, por que ela existe e como configurar para o seu projeto.
Cursor 0day: a falha no editor de IA que só a divulgação pública conseguiu corrigir
Uma vulnerabilidade crítica no Cursor, o editor de código com IA mais popular entre desenvolvedores, foi descoberta pela Mindgard. A historia revela por que a divulgação completa foi o único caminho disponível e o que todo dev que usa editores de IA precisa saber para se proteger.
Como o FSF bloqueia botnets automaticamente com o Reaction no Linux
A Free Software Foundation publicou como seus administradores usam o Reaction, uma ferramenta open source para Linux, para bloquear botnets automaticamente em tempo real. Veja como funciona e como aplicar no seu servidor.
Domínio t.me do Telegram suspenso: o que aconteceu e o que muda
O domínio t.me do Telegram foi suspenso, tornando todos os links curtos do app temporariamente inacessíveis. Entenda o que causou a suspensão, como isso afeta bots e grupos, e como proteger seus sistemas que dependem do Telegram.
Grok CLI fez upload do home inteiro para servidores externos: o que aprender
O Grok CLI da xAI foi acusado de enviar o diretório home inteiro do usuário para servidores externos sem consentimento claro. O incidente expõe riscos reais de segurança no uso de agentes de AI coding e serve de alerta para qualquer dev que usa Claude Code, Aider ou similares.
Clawk: VMs descartáveis para agentes de código não destruírem seu computador
O Clawk e uma ferramenta open source que da a agentes de código como Claude Code, Aider e Devin uma VM Linux descartavel para rodar, em vez de deixar eles executarem comandos direto no seu computador. Entenda como funciona e por que isso muda a segurança do desenvolvimento com IA.
GhostLock: a vulnerabilidade de 15 anos escondida em todos os Linux
Pesquisadores da Nebusec descobriram o GhostLock, uma falha stack-UAF no kernel Linux que existia ha cerca de 15 anos sem ser detectada e afeta todas as distribuições. Entenda o que é use-after-free, como esse tipo de ataque funciona e o que você deve fazer para proteger seus servidores.
Chromium 148: Math.tanh agora pode revelar seu sistema operacional
Desde o Chromium 148, a função Math.tanh do JavaScript retorna valores ligeiramente diferentes dependendo do sistema operacional. Isso permite que sites identifiquem se você usa Windows, Linux ou macOS sem nenhuma permissão. Entenda como funciona e o que isso significa para privacidade.
Ghost Font: a fonte que humanos leem mas a IA não consegue
Ghost Font e uma tipografia criada para confundir sistemas de IA e OCR enquanto permanece legivel para humanos. Entenda como funciona, para que serve e como usar em projetos de privacidade e segurança.
Linter que detecta bugs de segurança gerados por IA: como funciona
Ferramentas de IA como Copilot e ChatGPT geram código com falhas de segurança clássicas. Conheça o linter open source criado para detectar exatamente esses padrões inseguros antes que cheguem ao seu repositório.
TLS para serviços internos: como fazer certificado sem dor de cabeça
Guia prático para configurar TLS entre serviços internos sem depender de certificados autoassinados frágil. Você vai entender por que HTTP puro entre microservicos e um risco e como montar uma CA interna confiável.
GitLost: como pesquisadores enganaram um agente de IA do GitHub
Pesquisadores de segurança demonstraram uma técnica chamada GitLost, capaz de enganar agentes de IA integrados ao GitHub e fazer com que eles vazassem dados de repositórios privados. Entenda como o ataque funciona e o que isso muda para quem usa agentes de IA em código.
OpenSSH 10.4: o que mudou na nova versão e por que você precisa atualizar
O OpenSSH 10.4 foi lançado com melhorias importantes de segurança e novas funcionalidades. Neste post você vai entender o que mudou, quais vulnerabilidades foram corrigidas e como atualizar no seu servidor Linux.
Kani: o verificador de modelos para Rust que prova ausência de bugs
Kani e uma ferramenta de verificação formal para Rust que usa model checking para provar matematicamente que seu código não tem certos tipos de bugs. Entenda como funciona, quando usar e como ela se diferencia de testes e fuzzing.
Flipper Zero: o futuro do desenvolvimento de firmware open source
O Flipper Zero esta mudando a forma como firmware e desenvolvido de forma aberta. Veja o que a equipe anunciou sobre o futuro do projeto, como contribuir e por que isso importa para devs brasileiros.
Chat Control da UE: o que muda para desenvolvedores e usuários
O Conselho da UE aprovou o Chat Control via procedimento acelerado. Entenda o que essa lei significa, como afeta aplicativos de mensagens e o que muda na prática para devs e usuários brasileiros.
Vazamento de sessão no Claude Code: o que aconteceu e como se proteger
Um bug no Claude Code expõe potencial vazamento de dados de sessão entre workspaces distintos. Entenda o que aconteceu, quem e afetado e quais práticas adotar para proteger seu ambiente de desenvolvimento com IA.
MSI Center: como a vulnerabilidade LPE permite obter SYSTEM em segundos
Pesquisadores descobriram como o MSI Center permite escalar privilégios para SYSTEM no Windows em segundos. Entenda como funciona, quem esta em risco e como se proteger imediatamente.
Android Developer Verification: o sistema antimalware do Google que age como malware
O F-Droid publicou uma análise detalhada mostrando que o ADV, sistema de verificação de desenvolvedores do Android, coleta dados do dispositivo e os envia para servidores do Google sem consentimento claro. Entenda o que é o ADV, como ele funciona e por que isso importa para desenvolvedores e usuários de apps fora da Play Store.
UUID vs ID sequencial: por que o German Tank Problem importa
IDs sequenciais (1, 2, 3...) parecem inofensivos, mas revelam quantos clientes e pedidos você tem e abrem porta para ataques de enumeração. Veja como o UUID, com as versões v4 e v7, resolve isso sem destruir a performance do banco.
Servidores DNS públicos: como escolher e configurar com segurança
Trocar o DNS do seu provedor por um servidor público como 1.1.1.1, 8.8.8.8 ou 9.9.9.9 pode deixar a navegação mais rápida e segura. Veja como funcionam, quais as diferenças e o passo a passo para configurar no Windows, Linux e roteador.
Ataque de supply chain no npm: como duas linhas comprometem seu projeto
Entenda como ataques de cadeia de suprimentos no npm funcionam, por que duas linhas em um pacote podem vazar segredos do seu projeto e o que fazer para se proteger. Guia prático de defesa para devs brasileiros.
Shodan: o buscador que encontra câmeras e dispositivos expostos na internet
Entenda o que é o Shodan, o motor de busca que indexa dispositivos conectados à internet. Veja como ele encontra câmeras, servidores e IoT expostos e aprenda a proteger os seus equipamentos.
Zero-day: o que é, como funciona e como se proteger dessas falhas
Entenda o que é uma vulnerabilidade zero-day, por que ela é tao perigosa, como os ataques acontecem e quais práticas reais reduzem o risco para desenvolvedores e empresas no Brasil.
CVE-2026-LGTM: Quando Code Review Automatizado Vira Vetor de Ataque
Um incidente de segurança batizado de CVE-2026-LGTM revelou como ferramentas de revisão de código automatizadas podem ser exploradas para aprovar pull requests com código malicioso. Entenda o que aconteceu e como proteger seu pipeline.
Prompt injection: como hackers atacam assistentes de IA e como se defender
Prompt injection e uma das maiores ameaças de segurança em sistemas de IA hoje. Neste post você entende como esses ataques funcionam, quais são as técnicas mais usadas por atacantes e o que fazer para proteger seu assistente ou chatbot em produção.
TrustSiteMonitor: 26 verificações de segurança automáticas para seu site e API
O TrustSiteMonitor escaneia seu site em 26 fases automáticas, detectando desde credentials expostos no bundle JS até RLS bypassado no Supabase. Veja o que cada fase verifica e por que isso importa para qualquer projeto web.
10 mil repositórios GitHub com malware Trojan: como se proteger
Pesquisadores descobriram mais de 10 mil repositórios no GitHub distribuindo Trojans disfarçados de projetos legítimos. Entenda como funciona o ataque, quais sinais identificam repos maliciosos e o que fazer para proteger sua máquina e sua equipe.
Por que você deveria parar de usar JWT é quais são as alternativas
JWT virou padrão em APIs, mas tem problemas serios que a maioria dos devs ignora. Descubra quando JWT faz sentido, quando não faz e quais alternativas usar para autenticação segura em 2026.
Por que parar de usar JWT: os riscos que ninguém te conta
JWT virou padrão de autenticação em quase toda API REST, mas carrega vulnerabilidades sérias que a maioria dos devs ignora. Entenda os ataques reais, as alternativas e quando JWT ainda faz sentido no seu projeto.
Backdoor em oferta de emprego no LinkedIn: como funciona é como se proteger
Hackers estao usando ofertas de emprego falsas no LinkedIn para entregar código malicioso disfarçado de desafio técnico. Entenda como esse ataque funciona, quais são os sinais de alerta e o que fazer para não cair nessa armadilha.
21 zero-days no FFmpeg: o que todo desenvolvedor precisa saber agora
Pesquisadores encontraram 21 vulnerabilidades zero-day no FFmpeg, a biblioteca de midia mais usada do mundo. Entenda o que são essas falhas, quais versões estao em risco e como proteger seus projetos que usam FFmpeg em produção.
Malware Miasma compromete 32 pacotes npm da Red Hat e rouba credenciais de desenvolvedores
Em 1 de junho de 2026, pesquisadores identificaram que 32 pacotes oficiais do namespace @redhat-cloud-services foram infectados com o worm Mini Shai-Hulud, capaz de roubar chaves SSH, tokens de CI/CD e credenciais de cloud automaticamente durante o npm install.
Audit Logs: registrando ações críticas do sistema para segurança e compliance
Como implementar registro imutável de quem fez o quê, quando e de onde - essencial para segurança, compliance, LGPD e investigação de incidentes.
SOC 2: controles de segurança para empresas de tecnologia
Os 5 Trust Services Criteria do SOC 2 - segurança, disponibilidade, integridade, confidencialidade e privacidade - e como obter a certificação.
Vault: gerenciamento profissional de segredos com HashiCorp
Como o HashiCorp Vault centraliza segredos, emite tokens dinâmicos, rotaciona credenciais automaticamente e controla acesso com políticas finas.
Secret Management: nunca deixe senhas e tokens espalhados no código
Como guardar API keys, senhas de banco, certificados e tokens de forma segura usando variáveis de ambiente, secret managers e rotation automática.
Segurança para desenvolvedores: protegendo aplicação, dados e infraestrutura
Fundamentos de autenticação, autorização, criptografia, OWASP Top 10 e como incorporar segurança desde o design da aplicação até o deploy.
Zero Trust: nunca confiar por padrão, sempre verificar
Modelo de segurança baseado em verificação contínua de identidade, autorização granular, segmentação de rede e minimização de superfície de ataque.
mTLS: autenticação segura entre serviços
Como o mutual TLS garante que dois serviços provem suas identidades antes de se comunicarem, eliminando tokens e API keys em comunicação interna.
DDoS Protection: protegendo sistemas contra ataques de negação de serviço
Estratégias para mitigar picos maliciosos de tráfego, identificar ataques em andamento e manter o sistema disponível sob ataque.
Cloudflare: segurança, CDN, DNS e proteção na borda
Como usar Cloudflare para performance, proteção contra DDoS, DNS gerenciado, WAF, Workers e gerenciamento centralizado de tráfego web.
Docker: empacotando aplicações para rodar em qualquer ambiente
Containers, imagens, volumes, redes, Dockerfile, Docker Compose e deploy previsível que elimina o famoso 'funciona na minha máquina'.
Networking para desenvolvedores: o caminho real de uma requisição
DNS, TCP/IP, TLS, HTTP, portas, proxies e roteamento - o que acontece na rede entre o clique do usuário e a resposta do servidor.
Validação e sanitização: por que nunca confiar em dados externos
Como proteger sua aplicação contra dados inválidos, maliciosos ou inesperados vindos de usuários, APIs externas e qualquer fonte fora do controle direto do sistema.
Rate Limiting: como proteger sua aplicação contra abuso e sobrecarga
Controle de requisições por usuário, IP, token, rota ou serviço - como implementar limites que protegem a API sem prejudicar usuários legítimos.
O mínimo que um desenvolvedor precisa saber antes de colocar um app em produção
Checklist mental de arquitetura, segurança, deploy, monitoramento e resiliência - o que todo desenvolvedor precisa saber antes do primeiro deploy real.
O perigo dos Vibe Coders em produção
Por que criar rápido com IA não significa criar seguro, escalável ou pronto para usuários reais. Entenda os riscos invisíveis do Vibe Coding.
Vercel foi hackeada: o ataque via IA que colocou 6 milhões de projetos em risco
O grupo ShinyHunters comprometeu sistemas internos da Vercel via uma ferramenta de IA de terceiros com acesso OAuth ao Google Workspace. Entenda como aconteceu, o que foi exposto, o risco de supply chain para o Next.js e o que você deve fazer agora.
O que é SSL e HTTPS?
HTTPS usa TLS para criptografar toda comunicação entre browser e servidor. Entenda handshake TLS, certificados digitais, Let's Encrypt, Perfect Forward Secrecy e por que HTTP simples não e mais opção.
O que é Rate Limit?
Rate limit protege APIs contra abuso e garante uso justo dos recursos. Entenda Token Bucket, Leaky Bucket, Fixed Window, implementação no gateway e os headers padrão de resposta.
LGPD na Tecnologia
A LGPD regula o tratamento de dados pessoais no Brasil e impacta diretamente como sistemas são desenvolvidos. Entenda os princípios, bases legais, direitos dos titulares e como implementar na prática.
O que é Criptografia?
Criptografia protege dados em transito e em repouso. Entenda a diferença entre criptografia simétrica, assimétrica e hash, como funciona o TLS e onde cada técnica e aplicada.
O que é OAuth 2.0?
OAuth 2.0 e o protocolo de autorização delegada usado em login social, APIs e integrações. Entenda os fluxos Authorization Code, Client Credentials, PKCE e a diferença com OpenID Connect.
O que é Autenticação e Autorização?
Autenticação verifica quem você e. Autorização verifica o que você pode fazer. Entenda a diferença, session vs token, RBAC, OAuth e boas práticas de segurança.