Segurança

Documento de referência das medidas de segurança aplicadas.

1. Camadas

Transporte

HTTPS obrigatório em produção (Let's Encrypt).
HSTS automático quando HTTPS ativo (SecurityHeadersMiddleware).
X-Content-Type-Options: nosniff.

Aplicação

CSP estrita em produção com nonce por request (Support/Csp).
- script-src 'self' 'nonce-<hash>'
- style-src 'self' 'nonce-<hash>'
- frame-ancestors 'self', form-action 'self', base-uri 'self'
CSP frouxa em dev (unsafe-inline) — CSP_STRICT=false implicitamente.
X-Frame-Options: SAMEORIGIN (anti-clickjacking).
Referrer-Policy: strict-origin-when-cross-origin.
Permissions-Policy bloqueando geolocalização/microfone/câmera.

Sessão

Cookie HttpOnly, SameSite=Lax, Secure sob HTTPS.
Regeneração de ID no login.
Expiração por inatividade (SESSION_LIFETIME).

Autenticação

password_hash() com PASSWORD_DEFAULT (bcrypt).
Confirmação de e-mail obrigatória.
Tokens de reset/confirmação com hash sha256 e expiração.
Política de senha: mínimo 10 caracteres, sem senhas comuns, sem nome/e-mail.
2FA opcional via TOTP (RFC 6238) com backup codes.
Rate limiting em login, cadastro, reset e desafio 2FA.

Autorização

Toda query filtra por usuario_id (BaseRepository).
AuthMiddleware / GuestMiddleware protegem as rotas.
RequireTwoFactorMiddleware para defesa em profundidade.
/admin/* restrito por perfil admin ou ADMIN_USER_IDS.

Dados

PDO com prepared statements (ATTR_EMULATE_PREPARES=false).
Auditoria em audit_log (create/update/delete com diff).
Campos sensíveis mascarados no diff: senha, senha_hash, password,
token, token_hash, secret, backup_codes.

Webhooks

Validação HMAC obrigatória em produção (Support/WebhookSignature).
Deduplicação por (origem, id_externo).
Headers sensíveis mascarados.
Rotas em /webhooks/* isentas de CSRF (HMAC substitui).

Política de senha

Mínimo 10 caracteres.
Bloqueio contra lista embutida de senhas comuns.
Bloqueio contra senhas que contenham nome/e-mail do usuário.

Logs

logs/app.log ou logs/app.jsonl com rotação por tamanho.
logs/email.log no driver log.
Rate limit em storage/rate-limit/.
Campos sensíveis mascarados no contexto dos logs.

Assets

CSS/JS externos em public/assets/.
Views com <style> / <script> inline devem usar nonce.
Helper global: csp_nonce().

2. Superfície de ataque

Vetor	Mitigação
XSS	CSP com nonce, `esc()` em todas as views
CSRF	`CsrfMiddleware` global (exceto `/webhooks/*`)
SQL Injection	PDO + prepared statements
Timing attack (login)	Comparação com hash dummy
Brute force	Rate limit + bloqueio temporário
Session fixation	Regeneração no login
Clickjacking	`X-Frame-Options: SAMEORIGIN`
Mixed content	CSP + HTTPS obrigatório
Enumeração de usuários	Mensagem genérica em login e reset
Vazamento entre contas	Isolamento por `usuario_id`
Webhook spoofing	HMAC + deduplicação
Job injection	Handler registrado por classe

3. Checklist de deploy

APP_DEBUG=false
APP_ENV=production
HTTPS ativo com certificado válido
.env fora do versionamento e inacessível pela web
logs/ e storage/ com permissão 775
bin/backup.sh no cron diário
/health retornando ok
Rate limit testado (for i in {1..7}; do curl ...; done)
CSP estrita presente (verificar em securityheaders.com)
WEBHOOK_ALLOW_UNSIGNED=false (produção)
ADMIN_EMAILS configurado para alertas
2FA disponível em /perfil/2fa

4. Resposta a incidentes

Isolar: desativar usuário afetado (UPDATE usuarios SET ativo = 0).
Auditar: SELECT * FROM audit_log WHERE usuario_id = X ORDER BY created_at DESC;
Forçar reset de senha dos usuários afetados.
Revisar IPs em storage/rate-limit/ e logs/app.jsonl.
Rotacionar segredos (SMTP, webhooks, tokens).
Documentar em docs/INCIDENTES.md.

5. Rotação de segredos

Segredo	Onde	Frequência
`MAIL_PASSWORD`	`.env`	Anual ou após vazamento
`WEBHOOK_*_SECRET`	`.env`	Semestral
`WEBHOOK_META_VERIFY_TOKEN`	`.env`	Semestral
Tokens de usuário	Banco	Ao pedido do usuário
Backup codes 2FA	Banco	Ao pedido do usuário

6. Auditoria contínua

Revisar /admin/alertas semanalmente.
Revisar /admin/webhooks para eventos com assinatura_valida=0.
Rodar php bin/console alert:list para conferir deduplicação.
Verificar headers periodicamente (securityheaders.com).