Pinned Tweet
a curto prazo eu tenho dois objetivos bem claros:
correr uma meia maratona
e levar a caramelo aos R$ 100k de MRR
e quanto mais eu penso, mais acho que os dois dependem exatamente das mesmas coisas
constância quando a motivação some, disciplina quando o resultado demora pra aparecer e disposição pra continuar mesmo nos dias em que parece que vc não saiu do lugar
no fim, acho que os dois são muito mais sobre aparecer todos os dias do que sobre fazer algo extraordinário em um deles
todo mundo olha o Allow-Origin do CORS e esquece o Allow-Methods
libera só o que o seu front usa. se ele só faz GET e POST, tira PUT, PATCH e DELETE da lista
o scan da CarameloSec confere os dois
caramelosec.com/?utm_source=…
pra se proteger de clickjacking vocês usam frame-ancestors no CSP, X-Frame-Options ou os dois? como escolheram?
no response do login do teu SaaS, olha o header Set-Cookie
o cookie de sessão precisa ter HttpOnly, Secure e SameSite
sem isso, XSS ou um site de fora consegue roubar ou reusar a sessão
pra quem usa Next.js, qual critério vocês usam pra decidir o que pode ter NEXT_PUBLIC_ na frente e o que nunca pode?
carmem ➔ 🐕 caramelosec.com retweeted
cara, é maluco demais.
a arara deu prejuízo por meses. hoje sai mais de 2 milhões de mensagens de whatsapp por mês por ela, com 41% de ebitda e valuation de R$ 22 milhões.
a vida é uma loucura, só basta tentar.
carmem ➔ 🐕 caramelosec.com retweeted
eu fiz galera .. criei o Akinator da bolha dev brasileira chamado aDevinha hahaha
quero saber se está adivinhando pra vocês 👀
no seu SaaS em produção, tenta abrir a url de um .js e troca a extensão pra .js.map
se baixar o arquivo, qualquer um lê a receita do React/Vue/Next
o checker de source maps da CarameloSec confere isso
caramelosec.com/?utm_source=…
carmem ➔ 🐕 caramelosec.com retweeted
Agora que a política passou, chega pro novo produto da arara
bots.ararahq.com/
tem projeto em Node parado há meses? abre o terminal nele e manda um npm audit
ele compara suas dependências com uma base de falhas conhecidas e mostra o que tá afetado
o npm audit fix instala as atualizações compatíveis que corrigem isso
usa Spring Boot? olha o management.endpoints.web.exposure.include
com *, o actuator expõe por HTTP rotas como /actuator/mappings, que lista seus endpoints
deixa só o health. o checker de debug endpoints da caramelo confere isso
caramelosec.com/?utm_source=…
'meu SaaS é seguro?' não tem resposta de sim ou não
tem uma lista de coisas que você vai fechando, uma por vez, e que muda conforme o produto cresce
o importante é saber em que ponto da lista você tá
roda dig TXT no domínio do seu SaaS e procura a linha que começa com v=spf1
é ela que lista os servidores que podem mandar e-mail em nome do seu domínio
não achou? cria o registro com todo serviço que envia e-mail por você
domingo de lembrar do começo
conta aí o primeiro projeto que você colocou no ar e o que você faria diferente hoje
cria duas contas de teste no seu SaaS e abre um item da conta A
logado na conta B, abre a mesma url com o id da A
se abrir, a API não confere de quem é o dado. toda rota que recebe id precisa checar se ele é de quem pediu
uma parte do trabalho que quase ninguém vê é testar o próprio teste
antes de mudar um checker, a gente reproduz o cenário real e compara o antes e o depois
e cada ajuste deixa uma verificação fixa rodando a cada alteração na caramelo
segurança devia entrar no checklist do deploy do mesmo jeito que o teste que quebra o build
ninguém sobe código com teste vermelho, mas muita gente sobe sem saber o que o site expõe
não precisa ser grande, precisa ser toda vez
