Resumo dos Destaques de Segurança

Todo item destacado das 9 páginas desta seção, reunido em uma página e agrupado pela página de onde veio.

Segurança para Serviços Go: Padrões e Lacunas

• A biblioteca padrão do Go fornece TLS, criptografia e memória segura por padrão - não uma plataforma de segurança completa
• Os padrões do net/http são convenientes para demonstrações, mas inseguros para produção sem timeouts e limites
• Autenticação, autorização, validação de entrada e limitação de taxa são sempre preocupações da aplicação
• govulncheck e checksums de módulos abordam a cadeia de suprimentos; o endurecimento em tempo de execução ainda é seu trabalho
• Camadas de defesa em profundidade: transporte, cabeçalhos de borda, autenticação, validação e observabilidade

Noções Básicas de Segurança Go

• Aplique um mínimo de TLS 1.2; a produção deve usar rotação automática de certificados, não arquivos
• Exija segredos de ambiente na inicialização, pare o processo se estiverem ausentes, registre nomes, não valores
• Emparelhe ReadHeaderTimeout com ReadTimeout, WriteTimeout, IdleTimeout para bloquear Slowloris
• Defina MaxBytesReader por rota; retorna 413 em excesso; feche o corpo para habilitar keep-alive
• Use crypto/subtle para comparação em tempo constante de chaves de API e HMACs

Configuração de crypto/tls e Gerenciamento de Certificados

• Anexe tls.Config a wrappers http.Server, grpc.Credentials ou net.Listener
• Prefira TLS 1.3; restrinja conjuntos de cifras apenas quando precisar dar suporte a clientes legados
• mTLS requer ClientAuth, um pool de CA de cliente e certificados de curta duração rotacionados
• Use GetCertificate para SNI e ACME; evite carregar chaves do binário
• Teste as configurações TLS com openssl s_client e testes de integração, não suposições

Validação de Entrada e Manipulação Segura de HTML/JSON

• Desmaterialize em structs tipados, em seguida, valide as regras de negócios explicitamente
• Rejeite campos JSON desconhecidos quando contratos estritos importam
• Use html/template para HTML; nunca confie em text/template com dados do usuário
• Parametrize SQL; trate LDAP e argumentos de shell com igual cuidado
• Retorne erros genéricos para clientes; registre detalhes apenas no lado do servidor

Padrões de Autenticação e Autorização

• Autenticação prova identidade; autorização decide ações permitidas
• Middleware valida credenciais uma vez e armazena claims no contexto
• JWTs precisam de verificações de algoritmo, público e expiração; prefira TTL curto mais refresh
• Cookies de sessão exigem HttpOnly, Secure, SameSite e CSRF para mutações
• RBAC mapeia funções para permissões; verifique a autorização em cada manipulador sensível

Limitação de Taxa, CORS e Cabeçalhos de Segurança

• Limites de taxa protegem a disponibilidade; combine bucket de tokens com identidade por IP ou por chave
• CORS é um contrato do navegador - configure listas de permissões, nunca reflita Origens arbitrárias
• Cabeçalhos de segurança (CSP, HSTS, X-Frame-Options) reduzem o impacto de XSS e clickjacking
• Aplique cabeçalhos em todas as respostas, incluindo erros e 404s
• Coloque limitação de taxa e CORS no início da cadeia de middleware

Cookies Seguros e CSRF para Aplicativos Web

• Cookies de sessão precisam de HttpOnly, Secure, SameSite, Path e Max-Age ou Expires
• Rotas mutáveis de navegadores precisam de tokens CSRF ao usar sessões de cookie
• Double-submit compara o token do cookie com o cabeçalho ou campo de formulário
• APIs apenas com Bearer pulam CSRF, mas ainda precisam de disciplina XSS e CORS
• Rotacione IDs de sessão no login e na mudança de privilégio

Verificação de Dependências com govulncheck e SBOM

• govulncheck mapeia seu grafo de módulos para o banco de dados de vulnerabilidades do Go
• checksums go.sum verificam a integridade do módulo no momento do download
• Exportação SBOM documenta dependências para auditorias e resposta a incidentes
• CI deve falhar em vulnerabilidades acionáveis e rastrear exceções com expiração
• A verificação complementa, mas não substitui, atualizações oportunas de versão

Resumo das Melhores Práticas de Segurança

• Defina ReadHeaderTimeout em http.Server de produção para evitar ataques de cabeçalho lento
• Parametrize todas as consultas SQL para evitar injeção de SQL na origem
• Autentique em middleware antes dos manipuladores, falhe fechado em credenciais ausentes
• Fixe algoritmos JWT na validação para evitar ataques de confusão de algoritmo
• Sempre verifique certificados TLS em clientes de produção, nunca defina InsecureSkipVerify
• Renderize HTML com html/template, não text/template, para escape automático

636f64656775696465732e696f7c6367696f3435377c323032363037