Microaula em Método CELULA • Prévia Aberta

<p>APIs são o principal vetor de ataque moderno contra corporações globais. Uma falha de autorização a nível de objeto ou a ausência de rate limiting pode expor milhões de registros sigilosos de clientes em poucos minutos.</p>

Análise aprofundada do ranking oficial OWASP API Security Top 10: API1:2023 Broken Object Level Authorization (BOLA/IDOR), API2:2023 Broken Authentication, API3:2023 Broken Object Property Level Authorization (Mass Assignment e Excessive Data Exposure), API4:2023 Unrestricted Resource Consumption (falta de Rate Limiting e Throttling), API5:2023 Broken Function Level Authorization (BFLA), e injeções de código/SQL. Configuração correta de CORS (Cross-Origin Resource Sharing) e cabeçalhos de segurança (HSTS, CSP). Proteção contra ataques de força bruta com Redis Rate Limiting (Token Bucket / Leaky Bucket). Conformidade com a LGPD e sanitização de dados sensíveis em logs.

OWASP API1: BOLA (Broken Object Level Authorization)

A vulnerabilidade mais frequente e devastadora em APIs modernas.

• O ataque: o usuário A (autenticado) altera o ID na URL (`/pedidos/456`) e visualiza o pedido do usuário B
• A causa: o backend valida apenas se o token é válido, mas não ve...