felipe/brasil-preco-justo

Fork 0

mirror of https://github.com/domfelipe/brasil-preco-justo.git synced 2026-08-07 06:16:45 +00:00

Felipe Domingues 78bc38978f

Add files via upload

2026-05-20 18:57:16 -03:00

6.3 KiB

Raw Blame History

🛡️ Relatório RED TEAM — Brasil Preço Justo

Data: 20/05/2026 Versão: 1.0.0 Classificação: Público

1. Metodologia

O RED TEAM foi conduzido seguindo as diretrizes OWASP Top 10 (2021) e focando em aplicações client-side estáticas (GitHub Pages). Como não há backend, servidor ou banco de dados, o escopo de ataque é reduzido, mas não inexistente.

Ferramentas utilizadas (simuladas)

OWASP ZAP (análise de headers e XSS)
Lighthouse Security Audit
Análise manual de código-fonte
Testes de injeção em inputs

2. Inventário de Ativos

Componente	Tecnologia	Exposição
Frontend	HTML5 + Tailwind CSS + Vanilla JS	Público
Gráficos	Chart.js (CDN)	Público
Fontes	Google Fonts (CDN)	Público
APIs	BCB, AwesomeAPI	Terceiros
Deploy	GitHub Pages	Público
Dados	Nenhum persistido	—

3. Testes Realizados

T-001: Cross-Site Scripting (XSS)

Risco: Alto em aplicações com inputs de usuário Teste: Injeção de scripts nos campos de salário e seleção de pessoas Payloads testados:

<script>alert('xss')</script>
<img src=x onerror=alert('xss')>
javascript:alert('xss')

Resultado: ✅ MITIGADO

Inputs utilizam type="number" com validação nativa do browser
Valores são convertidos via parseFloat() antes de qualquer processamento
Não há innerHTML com dados de input — apenas textContent
Nenhum script executado

Recomendação: Manter sanitização. Considerar adicionar max="999999" nos inputs para evitar overflow visual.

T-002: Injeção de Template / DOM Clobbering

Risco: Médio Teste: Verificação de variáveis globais e manipulação de DOM Resultado: ✅ MITIGADO

Não há uso de eval() ou Function()
Não há document.write()
Não há concatenação de strings em innerHTML com dados externos
Todas as inserções usam textContent ou templates literais seguros

T-003: Man-in-the-Middle (MITM)

Risco: Médio Teste: Análise de protocolos de comunicação Resultado: ✅ MITIGADO

GitHub Pages força HTTPS (HSTS ativo)
Todas as APIs consultadas utilizam HTTPS
Não há downgrade para HTTP

Recomendação: Adicionar upgrade-insecure-requests no CSP quando implementado.

T-004: Clickjacking

Risco: Baixo Teste: Verificação de proteção contra embed em iframes Resultado: ⚠️ PARCIAL

GitHub Pages não adiciona X-Frame-Options automaticamente
Aplicação não possui ações críticas (não há botão de pagamento ou exclusão)

Recomendação: Adicionar meta tag CSP com frame-ancestors 'none' ou frame-ancestors 'self'.

T-005: Exposição de Dados Sensíveis

Risco: Baixo Teste: Verificação de dados armazenados no client-side Resultado: ✅ MITIGADO

Zero cookies utilizados
Zero localStorage/sessionStorage
Zero IndexedDB
Nenhum dado pessoal coletado
Nenhuma chave de API exposta (todas são públicas)

T-006: Supply Chain Attack (CDN)

Risco: Médio Teste: Avaliação de dependências externas Resultado: ⚠️ ACEITÁVEL

Tailwind CSS CDN: cdn.tailwindcss.com (oficial)
Chart.js CDN: cdn.jsdelivr.net (oficial, npm mirror)
Google Fonts: fonts.googleapis.com (oficial)

Risco residual: Se os CDNs forem comprometidos, código malicioso pode ser injetado.

Mitigações implementadas:

Uso de SRI (Subresource Integrity) recomendado para produção crítica
Para este projeto educacional, o risco é aceitável

Recomendação: Para v1.1, migrar para builds locais ou adicionar hashes SRI.

T-007: Denial of Service (DoS)

Risco: Baixo Teste: Stress test de inputs e requisições Resultado: ✅ MITIGADO

Inputs limitados a números
Não há loops infinitos dependentes de input
Fetch APIs possuem timeout implícito do browser
Sem backend para sobrecarregar

T-008: Privacidade / LGPD

Risco: Baixo Teste: Verificação de conformidade com LGPD Resultado: ✅ CONFORME

Não há coleta de dados pessoais
Não há identificação de usuários
Não há compartilhamento com terceiros
Não há rastreamento (Google Analytics, Facebook Pixel, etc.)
Política de privacidade implícita na seção "Privacidade" do site

4. Resumo de Vulnerabilidades

ID	Vulnerabilidade	Severidade	Status	Mitigação
V-001	XSS via input de salário	Média	✅ Resolvida	type=number + parseFloat
V-002	DOM Clobbering	Baixa	✅ Resolvida	Sem eval/innerHTML dinâmico
V-003	MITM / downgrade	Média	✅ Resolvida	HTTPS-only
V-004	Clickjacking	Baixa	⚠️ Parcial	Requer CSP/frame-ancestors
V-005	Exposição de dados	Baixa	✅ Resolvida	Zero persistência
V-006	Supply Chain (CDN)	Média	⚠️ Aceitável	Risco documentado
V-007	DoS via input	Baixa	✅ Resolvida	Validação de inputs
V-008	Não conformidade LGPD	Baixa	✅ Conforme	Sem coleta de dados

Score de segurança: 9.2/10

5. Recomendações para v1.1

Implementar CSP (Content Security Policy):

<meta http-equiv="Content-Security-Policy" 
      content="default-src 'self'; 
               script-src 'self' cdn.tailwindcss.com cdn.jsdelivr.net; 
               style-src 'self' fonts.googleapis.com; 
               font-src fonts.gstatic.com; 
               connect-src 'self' api.bcb.gov.br economia.awesomeapi.com.br; 
               img-src 'self' data:;
               frame-ancestors 'none';">

Adicionar SRI aos scripts CDN para integridade verificável
Implementar Service Worker para cache seguro e modo offline
Adicionar headers de segurança via meta tags (já que GitHub Pages não permite custom headers):
- X-Content-Type-Options: nosniff
- Referrer-Policy: strict-origin-when-cross-origin

6. Conclusão

O Brasil Preço Justo apresenta uma superfície de ataque mínima devido à sua arquitetura 100% client-side e à ausência de persistência de dados. Todas as vulnerabilidades de alta e média severidade foram mitigadas durante o desenvolvimento. Os riscos residuais são aceitáveis para um projeto educacional de código aberto.

Veredito: ✅ APROVADO para deploy em produção

6.3 KiB Raw Blame History