Boas Práticas de Segurança

Menor privilégio para IAM de serviço, usuários de banco de dados e HTTP de saída - estas regras fortalecem APIs Node.js contra falhas de classe OWASP.

Como Usar Esta Lista

• Execute antes do lançamento da API pública e da preparação do teste de penetração anual.
• Emparelhe com OWASP Top 10 para APIs como um documento de mapeamento.
• Adicione grep na CI para vazamentos de process.env, fetch(req.body.url) e falta de autenticação em novas rotas.
• Atribua proprietários para triagem de CVE de dependências e rotação de segredos.

A - Entrada e Autorização

• Valide corpos, query, parâmetros e cabeçalhos com Zod ou JSON Schema. unknown na entrada, DTO tipado na saída.
• Verifique a autorização em nível de objeto em cada rota :id. tenantId e ownerId devem corresponder ao chamador.
• Retorne 404 para acesso entre inquilinos, não 403. Evite a enumeração de recursos.
• Limite a taxa de endpoints de autenticação, OTP e redefinição de senha. express-rate-limit ou equivalente de gateway.
• Nunca espalhe req.body para create/update de ORM. Permita explicitamente apenas campos da lista de permissões.

B - Segredos e Configuração

• Segredos de cofre/SSM/segredos k8s em produção. Não .env embutidos em imagens.
• Módulo env único com parse Zod na inicialização. Proíba leituras dispersas de process.env no código do aplicativo.
• Redacione segredos em serializadores Pino. authorization, cookies, strings de conexão.
• Rotacione chaves de assinatura JWT e senhas de banco de dados sem deploy de código. Documente os passos do runbook.
• Usuário de banco de dados de menor privilégio por serviço. Apenas SELECT/INSERT nas tabelas necessárias, sem SUPERUSER.

C - Rede e SSRF

• safeFetch centralizado para URLs fornecidas pelo usuário. Resolva DNS + bloqueie IPs privados (Guarda SSRF).
• Desabilite o seguimento de redirecionamento em URLs de usuário de saída. Revalide cada salto ou rejeite 3xx.
• Lista de permissões de saída na camada de rede para pods sensíveis. Defesa em profundidade além do código do aplicativo.
• Bloqueie IPs de metadados da nuvem (169.254.169.254). Alvo comum de SSRF na AWS/GCP.
• mTLS ou tokens assinados para chamadas de serviço internas. Não confie apenas no IP.

D - Cabeçalhos, CORS e Clientes do Navegador

• Helmet em todos os aplicativos Express/Fastify voltados para o navegador. Ajuste o CSP com a equipe de frontend.
• Lista de permissões CORS com credenciais - nunca *. Reflita as origens permitidas exatas.
• Manipule OPTIONS antes do middleware de autenticação. O preflight não deve retornar 401.
• Cookies httpOnly para sessões de navegador quando possível. Reduza o impacto do roubo de tokens XSS.
• Desabilite x-powered-by e pilhas de erro verbosas em respostas JSON 5xx.

E - Cadeia de Suprimentos e Operações

• npm ci + npm audit --audit-level=high em CI. Veja Escaneamento de Dependências.
• Faça commit do lockfile; revise novas dependências no PR. Scripts de typosquatting e postinstall.
• Inventário de rotas em OpenAPI; deprecie endpoints não utilizados. Higiene API9.
• Execute contêineres como USER node não root. Sistema de arquivos raiz somente leitura onde possível.
• Checklist de revisão de segurança no modelo de release para alterações de autenticação que quebram.

FAQs

Relacionados

• Noções Básicas de Segurança - exemplos introdutórios
• OWASP Top 10 para APIs - mapeamento de risco
• Regras de Segurança - padrões de codificação da equipe
• Boas Práticas de Configuração - higiene de segredos

Versões da Stack: Esta página foi escrita para Node.js 24.18.0 (LTS Ativo), npm 10+, TypeScript 5.6+, Express 5, Fastify 5 e NestJS 11.