tag
XSS
2 artigos com esta tag
2026-09-05
Como escolher os cabeçalhos de segurança: o que ainda é necessário, o que está obsoleto e o que faz mal
Mais cabeçalhos não é melhor. Separe-os em três grupos: ainda eficazes (CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), obsoletos (o Expect-CT está praticamente obsoleto desde junho de 2021) e ativamente prejudiciais (o MDN marca o X-XSS-Protection como obsoleto e não padrão e alerta que ele pode criar vulnerabilidades de XSS em sites que seriam seguros). Copie uma lista desatualizada e você importa as configurações prejudiciais junto com as boas.
2026-06-08
O que é XSS (Cross-Site Scripting): uma falha que roda o script de um invasor no navegador de outro usuário
XSS faz uma string fornecida pelo invasor rodar 'como script' no navegador de outro usuário, levando diretamente a roubo de sessão e personificação. A defesa principal é escapar na saída. Não desabilite o auto-escape do seu framework.