Resumo de Melhores Práticas de Segurança

Lista de verificação orientada pela OWASP para APIs HTTP e gRPC em Go.

Aplique estas regras em modelos de serviço, revisão de código e CI para que toda API Go falhe fechada e seja lançada com higiene mensurável da cadeia de suprimentos.

Como Usar Esta Lista

• Marque os itens à medida que o modelo de serviço Go da sua organização os adota.
• Codifique os controles da Camada A em CI (govulncheck, lint, testes de integração para autenticação).
• Mapeie os itens da Camada B para as categorias do OWASP API Security Top 10 em seu registro de riscos.
• Revise ao expor novas rotas públicas, adicionar clientes de navegador ou integrar serviços gRPC.

A - Proteção de transporte e servidor

• Defina ReadHeaderTimeout em cada http.Server de produção. Bloqueia ataques de slow header antes que os handlers sejam executados.
• Configure ReadTimeout, WriteTimeout e IdleTimeout por SLO. Previne conexões pendentes e vazamentos de descritores.
• Defina tls.Config.MinVersion para TLS 1.2 ou superior em listeners TLS. Documenta o limite de protocolo aceitável para auditorias.
• Sirva cadeias de certificados completas e monitore as datas NotAfter. Cadeias incompletas causam falhas no cliente; o vencimento causa interrupções.
• Use mTLS ou identidade de malha para chamadas de serviço a serviço quando o modelo de ameaça exigir. A localização da rede não é autenticação.
• Nunca defina InsecureSkipVerify em clientes de saída de produção. Desabilita a verificação de certificado e nome de host.
• Injete instâncias http.Client configuradas com timeouts; nunca http.DefaultClient em handlers. O cliente padrão não tem prazo.

B - Autenticação e autorização

• Autentique em middleware antes dos handlers de negócios; falhe fechado em credenciais ausentes. Retorna 401, nunca fallback anônimo em rotas protegidas.
• Retorne 403 quando usuários autenticados não tiverem permissão; reserve 401 para falhas de autenticação. Semânticas claras auxiliam clientes e monitoramento.
• Fixe algoritmos JWT na validação; rejeite valores alg inesperados. Previne ataques de confusão de algoritmo.
• Use tokens de acesso de curta duração e uma estratégia documentada de rotação ou revogação. Limita o raio de explosão de tokens roubados.
• Verifique a autorização em nível de recurso, não apenas funções globais. Previne IDOR mesmo quando role: user está presente.
• Proteja rotas /metrics, /debug e de administrador com o mesmo rigor de autenticação das APIs. Atacantes escaneiam padrões.
• Armazene principais de contexto com tipos de chave não exportados. Evita colisões de chaves de string entre pacotes de middleware.

C - Entrada, saída e dados

• Limite corpos de requisição com http.MaxBytesReader antes da decodificação. Rejeita payloads excessivamente grandes precocemente.
• Valide JSON com DTOs tipados mais regras semânticas após a análise sintática. JSON válido ainda pode ser perigoso.
• Use DisallowUnknownFields em APIs públicas estritas quando apropriado. Expõe bugs do cliente e sondagens.
• Parametrize todo o SQL; nunca formate consultas com entrada do usuário. Interrompe a injeção de SQL na origem.
• Renderize HTML com html/template, não text/template. Auto-escapa conteúdo em contexto HTML.
• Retorne mensagens de erro genéricas para clientes; registre detalhes no lado do servidor com IDs de requisição. Previne vazamento de informações.
• Evite atribuição em massa: separe structs de entrada pública de modelos de persistência. Bloqueia escalonamento de privilégios via campos JSON.

D - Controles de navegador e borda

• Defina cookies de sessão como HttpOnly, Secure e SameSite apropriado. Reduz a exfiltração de XSS e o abuso de cookies entre sites.
• Exija tokens CSRF em requisições mutáveis autenticadas por cookie. Navegadores enviam cookies automaticamente; CORS não impede CSRF.
• Liste origens CORS permitidas; nunca reflita valores Origin arbitrários. CORS aberto mais cookies permite roubo de dados.
• Aplique cabeçalhos de segurança (CSP, HSTS, X-Content-Type-Options, frame-ancestors) em todas as respostas, incluindo erros. Cabeçalhos não devem depender apenas dos caminhos de sucesso.
• Limite a taxa de login e endpoints caros de forma mais agressiva do que verificações de integridade. Desacelera ataques de credenciais e abuso.
• Confie em X-Forwarded-For apenas de balanceadores de carga conhecidos. Previne spoofing de IP do cliente para limites de taxa e logs de auditoria.

E - Segredos e configuração

• Carregue segredos do ambiente ou gerenciadores de segredos; nunca cometa credenciais. Falhe o início do processo quando segredos necessários estiverem ausentes.
• Compare chaves de API e HMACs com crypto/subtle.ConstantTimeCompare. Reduz canais laterais de tempo.
• Hash de senhas com bcrypt ou argon2 via golang.org/x/crypto. Nunca armazene ou compare senhas em texto plano.
• Redija tokens e PII de logs estruturados. Logs se tornam um canal secundário de violação.
• Separe chaves de desenvolvimento e produção; rotacione em caso de saída de funcionários e incidentes. Limita o raio de explosão de configurações vazadas.

F - Cadeia de suprimentos e operações

• Execute govulncheck ./... em CI e falhe em descobertas alcançáveis e acionáveis. Captura CVEs conhecidos em seu grafo de importação.
• Comite go.sum e execute go mod verify em CI. Detecta adulteração de módulos no download.
• Gere e armazene SBOM por artefato de release. Acelera a resposta a incidentes e evidências de auditoria.
• Fixe a versão da toolchain Go em imagens de CI correspondentes a go.mod. Patches de segurança chegam em releases patch do Go.
• Revise diretivas replace e forks privados como código de primeira parte. Ignora verificações normais de proveniência de módulos.
• Documente listas de permissão de exceções para descobertas de vulnerabilidade com proprietários e expiração. Previne "isenções" temporárias permanentes.

FAQs

Relacionados

• Segurança para Serviços Go: Padrões e Lacunas - modelo conceitual de segurança
• Noções Básicas de Segurança Go - snippets iniciais executáveis
• Padrões de Autenticação e Autorização - padrões de middleware de autenticação
• Verificação de Dependências com govulncheck & SBOM - detalhes de verificação de CI
• Configuração de crypto/tls e Gerenciamento de Certificados - profundidade de TLS e mTLS

Versões de Stack: Esta página foi escrita para Go 1.26.x (GC padrão Green Tea, go fix modernizers - verifique o patch na compilação), chi (mais recente - verifique na compilação), gin (mais recente - verifique na compilação), echo (mais recente - verifique na compilação), google.golang.org/grpc (mais recente - verifique na compilação), sigs.k8s.io/controller-runtime (mais recente - verifique na compilação), kubebuilder (mais recente - verifique na compilação), tinygo (mais recente - verifique os alvos de placa na compilação), wazero (mais recente - verifique na compilação) e golangci-lint (mais recente - verifique na compilação).