Replit Docs

Este guia fornece uma lista de verificação de segurança abrangente para garantir que seus aplicativos vibe coded sigam as melhores práticas de segurança. Embora o Replit ofereça muitos recursos de segurança prontos para uso, é importante entender e implementar medidas de segurança adicionais para as necessidades específicas da sua aplicação.

Pré-requisitos

Uma conta Replit
Conhecimento básico da sua linguagem de programação preferida
Familiaridade com o Editor de Projeto
Um aplicativo que você está desenvolvendo no Replit

Segurança no front-end

HTTPS em todo lugar

O Replit usa HTTPS por padrão em todos os aplicativos. Portanto, você não precisa se preocupar com isso!

Validação e sanitização de entrada

Sempre valide e sanitize a entrada do usuário para prevenir ataques de cross-site scripting (XSS):

// Ruim: Uso direto da entrada do usuário
element.innerHTML = userInput;

// Bom: Sanitize a entrada antes de usar
import { sanitize } from 'some-sanitizer-library';
element.innerHTML = sanitize(userInput);

Mude para o modo Lite e pergunte ao Agent:

Help me validate and sanitize inputs to protect against XSS attacks

Mantenha dados sensíveis fora do navegador

Você deve usar os Secrets do Replit para armazenar informações sensíveis como chaves de API.Certifique-se de não passar segredos para o lado cliente nem colocá-los nos seguintes lugares:

Local storage
Session storage
JavaScript no lado cliente
Cookies sem atributos de segurança adequados

Mude para o modo Lite e pergunte ao Agent:

Help me keep sensitive data out of the browser. Am I doing this correctly?

Proteção CSRF

Implemente proteção contra Cross-Site Request Forgery (CSRF) para formulários:

// Exemplo de implementação de token CSRF
const csrfToken = generateToken();
session.csrfToken = csrfToken;

Mude para o modo Lite e pergunte ao Agent:

Help me implement CSRF tokens for forms

Segurança no back-end

Fundamentos de autenticação

Ao implementar autenticação:

Use o Replit Auth sempre que possível
Se estiver criando autenticação personalizada, use bibliotecas estabelecidas
Nunca armazene senhas em texto simples

Pergunte ao Agent:

Help me implement authentication for my application with Replit Auth

Verificações de autorização

Sempre verifique permissões antes de realizar ações:

// Exemplo de verificação de autorização
if (!user.canAccess(resource)) {
  return res.status(403).send('Access denied');
}

Pergunte ao Agent:

Help me implement authorization checks for my application

Proteção de endpoints de API

Proteja seus endpoints de API:

Adicione autenticação a endpoints sensíveis
Implemente configurações CORS adequadas
Considere implementar rate limiting

Mude para o modo Lite e pergunte ao Agent:

How do I properly authenticate endpoints in my app?

Prevenção de injeção SQL

O Agent usa ORMs por padrão, o que ajuda a prevenir injeção SQL. Se estiver escrevendo consultas de banco de dados personalizadas:

// Ruim: Concatenação de strings em consultas
db.query(`SELECT * FROM users WHERE username = '${username}'`);

// Bom: Consultas parametrizadas com ORM
db.query('SELECT * FROM users WHERE username = ?', [username]);

Cabeçalhos de segurança

Adicione cabeçalhos de segurança importantes à sua aplicação:

<!-- No index.html ou através do seu back-end -->
<meta http-equiv="X-Frame-Options" content="DENY">
<meta http-equiv="X-Content-Type-Options" content="nosniff">
<meta http-equiv="Content-Security-Policy" content="default-src 'self'">

Você pode escanear seu site em securityheaders.com para recomendações.Mude para o modo Lite e pergunte ao Agent:

Can you add the security headers to my application?

Práticas contínuas de segurança

Mantenha as dependências atualizadas

Verifique regularmente se há pacotes desatualizados que podem ter vulnerabilidades:

npm audit

Tratamento adequado de erros

Não exponha informações sensíveis em mensagens de erro:

// Ruim: Expondo detalhes sensíveis
catch (err) {
  res.status(500).send(`Database error: ${err.message}`);
}

// Bom: Mensagem de erro genérica
catch (err) {
  console.error(err); // Log interno
  res.status(500).send('An error occurred');
}

Pergunte ao Agent:

Help me implement proper error handling for my application

Cookies seguros

Ao usar cookies:

Defina a flag HttpOnly para prevenir acesso via JavaScript
Use o atributo Secure para exigir HTTPS
Implemente o atributo SameSite para prevenir CSRF

Pergunte ao Agent:

Help me secure my cookies for my application

Segurança no upload de arquivos

Se sua aplicação permite upload de arquivos:

Restrinja tipos e tamanhos de arquivo
Escaneie em busca de malware quando possível
Armazene arquivos no armazenamento de objetos do Replit
Gere novos nomes de arquivo em vez de usar os fornecidos pelo usuário

Pergunte ao Agent:

Help me secure my file uploads for my application

Rate limiting

Implemente rate limiting para endpoints de API, especialmente os relacionados à autenticação:

// Exemplo de middleware de rate limiting
const rateLimit = require('express-rate-limit');

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15 minutos
  max: 100 // limite de 100 requisições por IP a cada windowMs
});

app.use('/api/', limiter);

Pergunte ao Agent:

Help me implement rate limiting for my application

Lista de verificação

Aqui está o resumo acima em formato de lista de verificação para ajudá-lo a acompanhar suas práticas de segurança.

Segurança no front-end

	Medida de segurança	Descrição
☐	Usar HTTPS em todo lugar	Previne interceptação básica e ataques man-in-the-middle
☐	Validação e sanitização de entrada	Previne ataques XSS ao validar todas as entradas do usuário
☐	Não armazenar dados sensíveis no navegador	Sem segredos no local storage ou código do lado cliente
☐	Proteção CSRF	Implemente tokens anti-CSRF para formulários e requisições que alteram estado
☐	Nunca expor chaves de API no front-end	Credenciais de API devem sempre permanecer no lado servidor

Segurança no back-end

	Medida de segurança	Descrição
☐	Fundamentos de autenticação	Use bibliotecas estabelecidas, armazenamento adequado de senhas (hashing+salting)
☐	Verificações de autorização	Sempre verifique permissões antes de realizar ações
☐	Proteção de endpoints de API	Implemente autenticação adequada para cada endpoint de API
☐	Prevenção de injeção SQL	Use consultas parametrizadas ou ORMs, nunca SQL bruto com entrada do usuário
☐	Cabeçalhos de segurança básicos	Implemente X-Frame-Options, X-Content-Type-Options e HSTS
☐	Proteção DDoS	Use um CDN ou serviço de nuvem com recursos de mitigação DDoS integrados

Hábitos práticos de segurança

	Medida de segurança	Descrição
☐	Manter dependências atualizadas	A maioria das vulnerabilidades vem de bibliotecas desatualizadas
☐	Tratamento adequado de erros	Não exponha detalhes sensíveis em mensagens de erro
☐	Cookies seguros	Defina os atributos HttpOnly, Secure e SameSite
☐	Segurança no upload de arquivos	Valide tipos e tamanhos de arquivo e escaneie conteúdo malicioso
☐	Rate limiting	Implemente em todos os endpoints de API, especialmente os relacionados à autenticação

Foundations

Projects & Artifacts

Design

Work with Agent

Power builder

Mobile

Build safely

Lista de verificação de segurança

Pré-requisitos

Segurança no front-end

Segurança no back-end

Práticas contínuas de segurança

Lista de verificação

Segurança no front-end

Segurança no back-end

Hábitos práticos de segurança

​Pré-requisitos

​Segurança no front-end

​Segurança no back-end

​Práticas contínuas de segurança

​Lista de verificação

​Segurança no front-end

​Segurança no back-end

​Hábitos práticos de segurança

Pré-requisitos

Segurança no front-end

Segurança no back-end

Práticas contínuas de segurança

Lista de verificação

Segurança no front-end

Segurança no back-end

Hábitos práticos de segurança