"Sair de todos os aparelhos" que funciona: revogue a sessão no servidor
Monte uma tabela de sessões que permite encerrar um aparelho, todos os outros ou tudo ao trocar a senha, e entenda por que token sem lista não revoga.
Blog
552 artigos. As categorias separam os assuntos; cada página mostra 12.
Cookie de sessão com HttpOnly, Secure e SameSite: o JavaScript não precisa ler
Configure o cookie de sessão com HttpOnly, Secure, SameSite e prefixo __Host-, entenda o que cada flag protege e o que continua sendo trabalho seu contra XSS e CSRF.
Upload de imagem seguro: decodifique, regrave e sirva de onde nada executa
Receba fotos com limite de tamanho e de pixels, confira o formato pelo conteúdo, regrave os pixels com nome gerado por você e sirva de uma pasta que não executa código.
Foto enviada pelo celular pode publicar o endereço de casa: limpe o EXIF
Descubra quais metadados vêm na foto do celular, remova GPS e dados do aparelho no upload sem perder a orientação e limpe as imagens que já estão publicadas.
iPhone dá zoom ao tocar no campo: a regra dos 16 pixels e a gambiarra a evitar
Entenda por que o Safari do iPhone amplia a página quando o campo tem letra menor que 16 pixels, corrija no CSS sem bloquear o zoom e encontre os campos culpados com um script.
Alvo de toque pequeno: o botão que o mouse acerta e o polegar erra
Aumente a área de toque sem engordar o ícone, respeite o mínimo de 24 pixels da WCAG 2.2, mire em 44 e ache os alvos pequenos do site com um script no console.
Tabela larga no celular: rolagem com nome ou ficha por linha, sem espremer
Escolha entre rolagem horizontal acessível e layout de fichas, mantenha cabeçalho ligado a cada valor e teste no telefone se ainda dá para saber de qual coluna é o número.
Busca enquanto digita: debounce, AbortController e a resposta fora de ordem
Espere a pausa na digitação, cancele o pedido anterior com AbortController e descarte resposta velha, para a lista sempre bater com o campo sem afogar o servidor.
Toast que some sozinho: onde colocar o erro para ninguém perder
Use aviso flutuante só para o que é extra, deixe o erro preso ao campo e num resumo, configure aria-live do jeito certo e dê tempo de leitura a quem precisa.
Trocar o "Tem certeza?" por um desfazer que funciona de verdade
Decida quando usar desfazer e quando confirmar, implemente exclusão reversível com prazo no banco e escreva uma confirmação que nomeia o que será apagado.
Lista vazia que explica o que houve e qual é o próximo passo
Separe os quatro tipos de vazio (primeiro uso, busca sem resultado, filtro demais e erro), escreva a frase certa para cada um e pare de mostrar tela branca.
Tela de carregamento que não fica cinza para sempre: esqueleto, texto e erro
Combine o esqueleto visual com uma região de status em texto, prazo para desistir e troca por erro com "Tentar de novo", para quem vê e para quem ouve a tela.