Checklist de segurança antes de lançar um app feito com IA
Por Guilherme Menezes. Última revisão: 6 de novembro de 2026.
Antes de lançar um app feito com IA, confirme pelo menos sete coisas: cada usuário só acessa os próprios dados, as regras do banco de dados estão ativas, não há segredos no navegador, o login resiste a abusos, os dados recebidos são validados, os pacotes são legítimos e você sabe como reagir a um incidente. Esta lista resume os pontos mais graves, e você pode segui-la sem ajuda.
1. Cada usuário só acessa os próprios dados?
- Testei com dois usuários: um não consegue ler, alterar nem apagar os dados do outro.
- Sem sessão, as rotas privadas recusam a requisição.
- O servidor pega o id do usuário da sessão, não da requisição.
Como testar: acesso a dados de outros usuários (IDOR).
2. As regras do banco de dados estão ativas?
- Todas as tabelas com dados privados têm regras de acesso.
- Nenhuma regra deixa todo mundo passar, a não ser em dados públicos.
- As regras de armazenamento de arquivos também foram revisadas.
Com Supabase: como verificar o RLS.
3. Há segredos expostos?
- Nenhuma variável com prefixo público guarda um segredo.
- Procurei no JavaScript enviado ao navegador.
- Procurei no histórico do repositório.
- Sei onde trocar cada chave se for preciso.
Passo a passo: chaves e segredos no código do cliente.
4. O login resiste a abusos?
- Há limite de tentativas no login e na recuperação de senha.
- O link de recuperação expira e só funciona uma vez.
- As sessões terminam de fato ao sair.
- Funções de administrador verificam o papel no servidor, não só na interface.
5. Os dados recebidos são validados?
- O servidor valida o que recebe, mesmo que o formulário já faça isso.
- O envio de arquivos limita o tipo e o tamanho.
- Os pagamentos são confirmados pelo fornecedor no servidor. O preço não vem do navegador.
6. Os pacotes são legítimos?
A IA pode sugerir pacotes com nomes plausíveis que não existem, ou que não são os oficiais.
- Confirmei que cada pacote novo existe e é o oficial.
- Rodei
npm audit, ou o equivalente da stack, e tratei os resultados graves.
7. Sei reagir se algo der errado?
- Tenho logs que me permitem entender quem acessou o quê.
- Tenho backups e já testei restaurar um.
- Sei o que fazer se houver um vazamento de dados pessoais: LGPD e RGPD.
Esta lista basta?
Ela não substitui uma revisão completa. É um mínimo que pega falhas graves e evitáveis. Também tenho um checklist de 45 pontos em PDF, grátis, baseado no OWASP Top 10.