Claude Code no Cursor com backdoor SSH: como checar e limpar
Extensão do Claude Code 2.1.313 no Cursor plantou chave SSH do atacante. Veja como checar no Mac e no Windows, limpar a máquina e trocar suas credenciais.
Privacidade
27 artigos nesta categoria.
Extensões do Chrome sequestram a busca: como checar
319 extensões do Chrome trocam seu buscador e mandam cada pesquisa a terceiros. Veja como checar perfis, achar IDs no disco e bloquear com política na empresa.
Skimmer na Convertr: o que fazer e como se proteger
Skimmer no script do Plausible da Convertr capturou cartão e CPF de 24 a 27/10. Veja o que fazer se comprou e como proteger seu checkout com SRI e CSP.
Log sem senha: ache e corte dado sensível do log
Varra os logs atrás de token, CPF e cartão, veja onde o redact do pino falha, grave só campos escolhidos, limpe a query string do nginx e saiba o que fazer.
Foto enviada pelo celular pode publicar o endereço de casa: limpe o EXIF
Descubra quais metadados vêm na foto do celular, remova GPS e dados do aparelho no upload sem perder a orientação e limpe as imagens que já estão publicadas.
"Sair de todos os aparelhos" que funciona: revogue a sessão no servidor
Monte uma tabela de sessões que permite encerrar um aparelho, todos os outros ou tudo ao trocar a senha, e entenda por que token sem lista não revoga.
Login que diz "e-mail não cadastrado" entrega sua lista de clientes
Feche a enumeração de contas no login, no cadastro e na recuperação de senha: mesma mensagem, mesmo tempo de resposta e o aviso indo por e-mail.
Política de senha NIST: regras obrigatórias e migração
A NIST SP 800-63B-4 vai além do tamanho da senha: lista de bloqueio com o nome do serviço, sem dica, sem truncar, NFC e um plano para largar a troca de 90 dias.
Link de redefinição de senha: prazo curto, uso único e token que não vaza
Implemente o link de "esqueci a senha" com token guardado só como hash, validade curta, consumo atômico, proteção contra o leitor de links e queda das sessões.
"Esqueci a senha" sem limite vira máquina de spam com o seu domínio
Coloque limite por e-mail e por IP no fluxo de recuperação de senha, responda sempre a mesma frase, envie fora da requisição e monitore o volume.
Formulário com campo demais: como pedir só o dado que tem finalidade
Corte os campos que não têm uso, escreva para que serve cada um que fica e separe a newsletter num checkbox desmarcado, com o servidor aceitando só o que foi previsto.
Link encurtado esconde o destino: quando evitar e como medir campanha sem ele
Publique links com o domínio visível, meça campanhas com parâmetros na URL real, use um redirecionamento no seu próprio domínio quando precisar de link curto e confira destinos sem clicar.