Segurança do Express (Node.js) — uma referência de hardening para produção

Para: qualquer pessoa que opere uma API ou aplicação em Express (Node.js). Sem passos de ataque aqui — esta é uma referência de trabalho para as defesas que você adiciona a um framework minimalista: um checklist priorizado, orientação por área e autoverificação. Para o panorama entre frameworks, veja o hub de segurança por framework.

Checklist de hardening priorizado

Faça esta tabela de cima para baixo. P0 é pré-requisito, P1 é a fonte mais frequente de incidentes, P2 é higiene operacional contínua.

1. Cabeçalhos de segurança e redução da exposição (P0)

O Express não define cabeçalhos de segurança por padrão. Eleve essa linha de base primeiro.

• Use middleware no estilo helmet para adicionar CSP, HSTS, X-Content-Type-Options, frameguard, etc.
• Desabilite x-powered-by para reduzir a exposição do framework/versão.
• Verifique o seu próprio site com o verificador de cabeçalhos de segurança.

2. Dependências (npm) e cadeia de suprimentos (P0)

• Monitore por máquina os CVEs de dependências com npm audit ou osv-scanner, julgue pela versão em execução e corrija rápido (→ monitorar CVEs de dependências).
• O Node tem uma árvore de dependências grande e risco de cadeia de suprimentos (typosquatting, hooks postinstall). Faça a triagem no momento da instalação e mantenha a contagem baixa.
• Mantenha o Node em uma versão suportada (LTS) e não deixe versões EOL em produção.

3. Validação de entrada e injeção (P1)

• Valide/sanitize toda a entrada (corpo, query, params, cabeçalhos). Defina um limite de tamanho de corpo para conter DoS.
• SQL: vincule com placeholders; nunca construa consultas por concatenação de strings (→ o que é injeção de SQL).
• NoSQL: cuidado com a injeção de operador ($) via entrada tipada como objeto (não passe objetos crus para as consultas).
• Não passe entrada externa para avaliações perigosas como eval.

4. Autenticação e autorização (P1)

Veja o que é IDOR · o que é JWT. Você mesmo pode inspecionar o conteúdo de um JWT (decodificador de JWT).

5. Limitação de taxa e abuso (P2)

• Aplique limites de tentativa/vazão a login, APIs e redefinição de senha para conter força bruta, abuso e DoS.
• Defina limites de tamanho em corpos de requisição e uploads (previna exaustão por payloads grandes).

6. Sessões e cookies (P2)

• Defina secure/httpOnly/sameSite nos cookies de sessão.
• Para aplicações com sessão em cookie, adicione proteção CSRF (→ o que é CSRF).
• Use um armazenamento de sessão adequado em produção (o padrão em memória não serve para produção). Regenere a sessão no login.

7. SSRF e buscas do lado do servidor (P2)

• A busca, do lado do servidor, de URLs fornecidas pelo usuário deve restringir os alvos a uma lista de permissão e bloquear o alcance a IPs internos / metadados de nuvem no momento da conexão (→ o que é SSRF).

8. Tratamento de erros e configuração de produção (P0–P2)

• Use um tratador de erros central e não exponha stack traces externamente.
• Execute com NODE_ENV=production. Atrás de um proxy, defina trust proxy corretamente para que o esquema e o IP do cliente não sejam mal interpretados.
• Termine TLS/HTTPS de forma confiável.

Verifique: o seu Express está mesmo endurecido?

Construí-lo não é o fim — só está pronto quando você verificou. Estas são autoverificações defensivas contra o seu próprio ambiente.

Leia a seguir

• Hub: segurança por framework · segurança do Next.js (também Node)
• Prática: monitorar CVEs de dependências · o manual de resposta a vulnerabilidades
• Glossário: o que é IDOR · o que é SSRF · o que é JWT · o que é CSRF
• Ferramentas: verificador de cabeçalhos de segurança · decodificador de JWT