Isaque Victor cursos gratuitosNesta aula
O que você criou funciona. Agora: o que acontece se alguém tentar usar contra você?
Segurança em projeto pequeno não é firewall nem jargão. É uma lista de perguntas simples que você responde antes de mostrar a ferramenta para alguém.
- Conhecer os quatro lugares onde as coisas dão errado
- Aplicar um checklist ao seu projeto
- Usar a IA como revisora e saber o que ela não vê
Quatro lugares onde dá errado
Segredos no código
Chave ou senha dentro de um arquivo que o navegador baixa ou que entrou no git.
Dados de pessoas
Formulário que pede mais do que precisa. A LGPD vale para você.
Contas e acessos
Senha fraca ou repetida na hospedagem, no domínio e no provedor de IA.
Entradas do visitante
Tudo o que alguém digita é entrada de estranho. Texto enorme trava o app e custa caro.
O checklist
| Área | Pergunta |
|---|---|
| Segredos | Alguma chave, senha ou token em arquivo do projeto? Busque com Ctrl + F |
| Segredos | O .gitignore existe e a chave tem limite mensal? |
| Dados | Consigo justificar cada dado de pessoa em uma frase? |
| Dados | Sei onde ficam, por quanto tempo e quem acessa? |
| Contas | Senha única e dois fatores nas três contas? |
| Contas | As contas estão no meu nome ou da empresa? |
| Entradas | Os campos têm limite de tamanho e tipo? |
Exemplo real
Uma imobiliária tinha uma ferramenta de visitas que pedia o CPF do interessado "porque o corretor sempre pede". Na revisão ninguém soube dizer para quê. O campo saiu. Dado que você não guarda não vaza.
A IA como revisora
A IA que escreveu o código também o revisa bem. Ela acha os erros clássicos. Mas há coisas que só você vê: se a senha da hospedagem é a mesma do e-mail, se o domínio está no nome de um parente e se o seu negócio precisa mesmo daquele dado.
Cuidado
"A IA revisou e disse que está seguro" não é garantia. Se o projeto guarda dado sensível ou move dinheiro, a revisão é de profissional.
Coisa de profissional
A IA também pode inventar o nome de uma biblioteca que não existe. Um estudo analisou 576 mil códigos gerados por modelos e achou que, em média, ao menos 5,2% dos pacotes sugeridos pelos modelos comerciais, e 21,7% pelos abertos, eram inventados. O risco é que alguém registre esse nome falso com código malicioso e espere você instalar. Por isso, profissional confere se o pacote existe, se tem uso e quem o publica, antes de mandar instalar qualquer coisa que a IA sugerir.
Sobre o site: um site estático não processa formulário. Ou o botão abre o WhatsApp com o texto pronto, e nada fica com você, ou um serviço de terceiros recebe os dados, e então você precisa ler a política dele. Peça à IA um aviso de privacidade de cinco linhas para o rodapé, dizendo o que o site coleta e como a pessoa fala com você.
LGPD em três frases
- Colete o mínimo, com um motivo que você consegue explicar.
- Saiba onde está e consiga apagar se a pessoa pedir.
- Não deixe vazar, e se vazar, avise. Comunicar é obrigação.
Prática · 10 min
- Passe o checklist no site e na ferramenta. Marque ok, corrigir ou não se aplica.
- Cole o pedido abaixo em cada pasta e corrija primeiro o que for gravidade alta, um pedido por correção.
- Confira as três contas no gerenciador de senhas e ligue os dois fatores onde faltar.
projeto.txt e a frase "a ferramenta guarda [o quê], em [onde], por [quanto tempo], acessado por [quem]".Resumo
- Segredos, dados, contas e entradas: os quatro lugares de risco.
- Dois fatores e senha única são a proteção mais barata.
- A IA revisa o código, mas não vê suas contas nem seu contexto.
- Confira o nome de qualquer pacote que a IA mandar instalar.
Fontes
Lidas em 30 de outubro de 2026.
- Spracklen e outros. We Have a Package for You! (arXiv 2406.10279): 576 mil amostras de código; ao menos 5,2% de pacotes inventados em modelos comerciais e 21,7% em abertos.
Quiz da aula
Três situações para aplicar o que viu.