Pular para o conteúdo

cd ~/ciberseguranca --defesa

Segurança web na prática, com método de pentest DCPT

Penso como um atacante para construir defesas. Uso o método da DCPT para reduzir o risco de fraude, sequestro de dados ou queda do seu site.

Solicitar avaliação de segurançaver a simulação ↓
Ilustração: radar de reconhecimento sobre um mapa de redeIlustração: radar de reconhecimento sobre um mapa de rede

Red team aplicado à defesa

A mente ofensiva e o rigor da DCPT

Laboratórios, CTFs e a certificação DCPT.

Graduação em ADS e certificação DCPT (06/12/2025)

“Entender a falha pela raiz deixa a construção sólida.”

Na graduação em ADS, eu queria saber como a tecnologia se comporta no limite. Essa pergunta me levou à segurança ofensiva e, em 06/12/2025, à certificação DCPT.

ler o capítulo completo (3 parágrafos)

Não me bastava que o sistema funcionasse. Eu queria entender arquitetura, bancos de dados, protocolos de rede e o que o código faz de inesperado.

Pratiquei em laboratórios e CTFs no TryHackMe, guiado pelo OWASP Top 10 e pelo OWASP ASVS.

A DCPT, da Desec Security, coordenada por Ricardo Longatto, é uma prova prática de 48 horas num ambiente corporativo simulado. Cada falha explorada exige prova e relatório de correção.

O que isso muda no seu site

Quem sabe como sistemas são atacados já projeta formulários, cabeçalhos e dados pensando na defesa.

Pensar como atacante, construir como defensor

Secure SDLC: segurança desde o código

Segurança não é um plugin colocado no fim. Ela entra nas 4 etapas do projeto.

Etapa 1Planejamento

Ameaças mapeadas antes do código

Antes de programar, mapeio entradas de dados, pontos de injeção e fluxos sensíveis.

Entregas
  • Next.js sem backend desnecessário
  • Chaves de API fora do código
  • OWASP Top 10 mapeado

Etapa 2Implementação

Entradas validadas, spam barrado

Cada formulário passa por validação Zod e honeypot anti-robô. O que é estranho é rejeitado na entrada.

Entregas
  • Schemas Zod
  • Proteção contra XSS (script injetado)
  • Honeypot invisível para pessoas

Etapa 3Infraestrutura

Cabeçalhos HTTP e limite de acesso

Uso os cabeçalhos do OWASP ASVS e limito requisições para conter abusos e robôs.

Entregas
  • Content Security Policy (CSP)
  • HSTS e X-Frame-Options DENY
  • Limite por IP nos formulários

Etapa 4Operação

Dependências em dia e LGPD

Depois da publicação, acompanho falhas conhecidas (CVEs) e atualizo as bibliotecas.

Entregas
  • npm audit periódico
  • Só os dados necessários (LGPD)
  • Pacotes críticos primeiro

A certificação DCPT na prática

DCPT

DCPT — Desec Certified Penetration Tester

Emitido por Desec Security (Ricardo Longatto)

Prova prática de segurança ofensiva: encontrar, explorar e corrigir falhas em aplicações web e infraestrutura, com conduta ética.

Por que isso importa

Quem sabe como um ataque acontece na prática sabe onde colocar as defesas.

Verificar a credencial na DesecLer a jornada completa no Medium (abre em nova aba)
Postura ética:Não prometo 100% de segurança. Aplico práticas consolidadas que reduzem as falhas mais comuns do OWASP Top 10.

./simulador --demo

Simulador de defesa

Eventos simulados, sem tráfego real
6 eventos
Evento simulado SEC-LOG-001

SQL Injection bloqueada

Tempo de reação simulado: 12 ms
Ataque simulado' OR 1=1 UNION SELECT 1,schema_name FROM information_schema--
Defesa aplicada

O schema Zod rejeita a entrada antes da consulta.

Categoria OWASP
A03:2021-Injection
Classificação CWE
CWE-89
Severidade
Crítica
Demonstração

avaliar_meu_site

Seu site está protegido contra as falhas mais comuns?

Agende uma avaliação rápida: verifico cabeçalhos, formulários e versões desatualizadas do seu site.

Solicitar avaliação de segurançaFalar sobre um site novo