Novo em segurança de dependências? Consulte Conceitos de segurança para definições de CVE, SBOM, exposição, Fix with Agent, Republish e Auto-Protect.
npm install ou pip install, a solicitação passa primeiro pelo Package Firewall. Pacotes limpos são instalados normalmente e você não notará nada diferente. Pacotes que a Socket sinalizou como maliciosos ou comprometidos são bloqueados antes que qualquer código chegue ao seu ambiente.
O Package Firewall está ativado por padrão para todos os criadores, sem nada para configurar e nada para migrar. Ele protege aplicativos novos e existentes da mesma forma, e não há nenhuma configuração a ser feita.
Por que a proteção no momento da instalação é importante
A maioria das ferramentas de cadeia de suprimentos verifica as dependências apenas no momento da publicação, muito depois de o pacote já ter sido instalado. Para vulnerabilidades comuns, isso pode ser suficiente. Malware é diferente: ele causa dano no instante em que é instalado — roubando segredos, abrindo backdoors ou exfiltrando suas variáveis de ambiente. Quando uma verificação no momento da publicação o sinaliza, o ataque já ocorreu. O Package Firewall fecha essa janela. Ao bloquear pacotes maliciosos antes que sejam baixados, ele impede o ataque antes que uma única linha de código malicioso seja executada.Como funciona
- Você ou o Agent executam um comando de instalação, como
npm install <package>oupip install <package>. - A solicitação passa pelo Package Firewall, que verifica o pacote em relação à inteligência de ameaças da Socket.
- Se o pacote estiver limpo, a instalação ocorre normalmente, sem diferença perceptível.
- Se o pacote for malicioso ou comprometido, a instalação é bloqueada antes que qualquer código chegue ao seu ambiente.
Gerenciadores de pacotes suportados
O Package Firewall protege instalações em:- JavaScript — npm, yarn e pnpm
- Python — pip
- Go — módulos Go
O que o Package Firewall detecta
O Package Firewall bloqueia tanto malware evidente quanto versões comprometidas ou conhecidamente vulneráveis de pacotes legítimos — incluindo pacotes amplamente utilizados. Muitas dessas vulnerabilidades foram divulgadas após a data limite de treinamento dos modelos que os recomendam, então um modelo pode sugerir com confiança uma versão de dependência que era considerada segura nos dados de treinamento, mas que desde então foi sinalizada. Esses riscos têm nomes conhecidos no setor:- Typosquats — um pacote malicioso com um nome que difere de um pacote real por apenas uma tecla, como
reqeustsem vez derequests. Você solicita o pacote errado e baixa malware. - Slopsquats — um modelo alucina um nome de pacote que não existe, um atacante registra exatamente esse nome e espera que o próximo agente o instale.
- Recomendações desatualizadas — um pacote real com uma vulnerabilidade divulgada que o modelo recomenda porque era considerado seguro antes da sua data limite de treinamento.
Como o Package Firewall se encaixa com as outras ferramentas de segurança do Replit
O Package Firewall é uma de três camadas complementares. Cada uma protege um ponto diferente do ciclo de vida do seu aplicativo, então use-as em conjunto em vez de escolher entre elas.| Camada | Quando é executada | O que faz |
|---|---|---|
| Package Firewall | No momento da instalação | Bloqueia pacotes maliciosos e comprometidos antes que sejam baixados (prevenção). |
| Verificações automáticas de dependências | Após a instalação, continuamente | Detectam CVEs recém-divulgados nas suas dependências instaladas, com correções opcionais preparadas pelo Agent. Consulte o Centro de Segurança do Projeto. |
| Security Agent | Antes de publicar | Audita toda a sua base de código em busca de vulnerabilidades de código, dependências e privacidade. Consulte Verificações de segurança do Agent. |
Próximos passos
- Revise os achados de um único projeto no Centro de Segurança do Projeto.
- Audite as dependências em todos os projetos no Centro de Segurança do Workspace.
- Leia Como o Replit protege código gerado por IA para saber mais sobre a abordagem do Replit em relação à segurança.