Trocar o "Tem certeza?" por um desfazer que funciona de verdade
Decida quando usar desfazer e quando confirmar, implemente exclusão reversível com prazo no banco e escreva uma confirmação que nomeia o que será apagado.
Blog
552 artigos. As categorias separam os assuntos; cada página mostra 12.
Toast que some sozinho: onde colocar o erro para ninguém perder
Use aviso flutuante só para o que é extra, deixe o erro preso ao campo e num resumo, configure aria-live do jeito certo e dê tempo de leitura a quem precisa.
Busca enquanto digita: debounce, AbortController e a resposta fora de ordem
Espere a pausa na digitação, cancele o pedido anterior com AbortController e descarte resposta velha, para a lista sempre bater com o campo sem afogar o servidor.
Tabela larga no celular: rolagem com nome ou ficha por linha, sem espremer
Escolha entre rolagem horizontal acessível e layout de fichas, mantenha cabeçalho ligado a cada valor e teste no telefone se ainda dá para saber de qual coluna é o número.
Alvo de toque pequeno: o botão que o mouse acerta e o polegar erra
Aumente a área de toque sem engordar o ícone, respeite o mínimo de 24 pixels da WCAG 2.2, mire em 44 e ache os alvos pequenos do site com um script no console.
iPhone dá zoom ao tocar no campo: a regra dos 16 pixels e a gambiarra a evitar
Entenda por que o Safari do iPhone amplia a página quando o campo tem letra menor que 16 pixels, corrija no CSS sem bloquear o zoom e encontre os campos culpados com um script.
Foto enviada pelo celular pode publicar o endereço de casa: limpe o EXIF
Descubra quais metadados vêm na foto do celular, remova GPS e dados do aparelho no upload sem perder a orientação e limpe as imagens que já estão publicadas.
Upload de imagem seguro: decodifique, regrave e sirva de onde nada executa
Receba fotos com limite de tamanho e de pixels, confira o formato pelo conteúdo, regrave os pixels com nome gerado por você e sirva de uma pasta que não executa código.
Cookie de sessão com HttpOnly, Secure e SameSite: o JavaScript não precisa ler
Configure o cookie de sessão com HttpOnly, Secure, SameSite e prefixo __Host-, entenda o que cada flag protege e o que continua sendo trabalho seu contra XSS e CSRF.
"Sair de todos os aparelhos" que funciona: revogue a sessão no servidor
Monte uma tabela de sessões que permite encerrar um aparelho, todos os outros ou tudo ao trocar a senha, e entenda por que token sem lista não revoga.
Login que diz "e-mail não cadastrado" entrega sua lista de clientes
Feche a enumeração de contas no login, no cadastro e na recuperação de senha: mesma mensagem, mesmo tempo de resposta e o aviso indo por e-mail.
Redirect que obedece ao parâmetro next manda a pessoa para outro site
Valide o destino do redirect pós-login com o parser de URL e comparação de origem, para que o parâmetro next nunca leve a pessoa a um site falso usando o seu domínio.