Checklist de segurança antes de lançar uma app feita com IA
Por Guilherme Menezes. Última revisão: 6 de novembro de 2026.
Antes de lançar uma app feita com IA, confirma pelo menos sete coisas: cada utilizador só acede aos seus dados, as regras da base de dados estão ativas, não há segredos no browser, o login resiste a abusos, os dados recebidos são validados, os pacotes são legítimos e sabes como reagir a um incidente. Esta lista resume os pontos mais graves, e podes segui-la sem ajuda.
1. Cada utilizador só acede aos seus dados?
- Testei com dois utilizadores: um não consegue ler, alterar nem apagar os dados do outro.
- Sem sessão, as rotas privadas recusam o pedido.
- O servidor retira o id do utilizador da sessão, não do pedido.
Como testar: acesso a dados de outros utilizadores (IDOR).
2. As regras da base de dados estão ativas?
- Todas as tabelas com dados privados têm regras de acesso.
- Nenhuma regra deixa passar toda a gente, a não ser em dados públicos.
- As regras de armazenamento de ficheiros também foram revistas.
Com Supabase: como verificar o RLS.
3. Há segredos expostos?
- Nenhuma variável com prefixo público guarda um segredo.
- Procurei no JavaScript enviado ao browser.
- Procurei no histórico do repositório.
- Sei onde rodar cada chave se for preciso.
Passo a passo: chaves e segredos no código do cliente.
4. O login resiste a abusos?
- Há limite de tentativas no login e na recuperação de palavra-passe.
- O link de recuperação expira e só funciona uma vez.
- As sessões terminam mesmo ao sair.
- Funções de administrador verificam o papel no servidor, não só na interface.
5. Os dados recebidos são validados?
- O servidor valida o que recebe, mesmo que o formulário já o faça.
- O envio de ficheiros limita o tipo e o tamanho.
- Os pagamentos são confirmados pelo fornecedor no servidor. O preço não vem do browser.
6. Os pacotes são legítimos?
A IA pode sugerir pacotes com nomes plausíveis que não existem, ou que não são os oficiais.
- Confirmei que cada pacote novo existe e é o oficial.
- Corri
npm audit, ou o equivalente da stack, e tratei os resultados graves.
7. Sei reagir se algo correr mal?
- Tenho registos que me permitem perceber quem acedeu a quê.
- Tenho cópias de segurança e já testei repor uma.
- Sei o que fazer se houver uma fuga de dados pessoais: RGPD e LGPD.
Esta lista chega?
Não substitui uma revisão completa. É um mínimo que apanha falhas graves e evitáveis. Tenho também uma checklist de 45 pontos em PDF, grátis, baseada no OWASP Top 10.