Isolamento entre clientes
- Toda consulta ao banco filtra pelo cliente (tenant) do usuário logado, no servidor.
- Trocar um ID na URL ou na API nunca devolve dado de outro cliente.
- Arquivos enviados ficam em caminhos ou buckets separados por cliente, sem link público adivinhável.
- Existe um teste automatizado que tenta acessar recurso de outro cliente e falha.
Login e permissões
- MFA disponível, e obrigatório para administradores.
- Limite de tentativas de login e de recuperação de senha.
- Recuperação de senha com token de uso único e prazo curto.
- Perfis (dono, admin, usuário) checados no servidor, não só escondidos na tela.
- Sessão expira e é encerrada ao trocar a senha.
Segredos e configuração
- Nenhuma chave secreta no front-end nem no repositório; variáveis de ambiente no servidor.
- Chaves de provedores (pagamento, IA, e-mail) com teto de uso e alerta.
- HTTPS em tudo, cabeçalhos de segurança configurados, source maps fora de produção.
- Banco de dados e painéis administrativos fora do alcance público.
- Dependências atualizadas e um scanner de dependências no pipeline.
Dados e LGPD
- Só coletar o dado que o produto precisa.
- Backup automático e testado, com restauração ensaiada.
- Política de privacidade e termos de uso publicados.
- Contrato de tratamento de dados pronto para clientes empresariais (o SaaS normalmente é operador).
Monitoramento e resposta
- Logs de login, de ações administrativas e de erros, guardados fora do servidor da aplicação.
- Alerta quando o sistema cai ou quando há pico anormal de erros ou de logins falhos.
- Um responsável definido e um plano simples para incidentes.
- Canal para pesquisadores reportarem falhas (security.txt).
O teste antes do lançamento
O checklist cobre o que a equipe consegue conferir sozinha. O que costuma escapar é a falha de lógica: um fluxo que, combinado de um jeito inesperado, libera dado ou recurso pago. Um pentest antes do lançamento é o momento mais barato para achar isso, e o laudo responde ao questionário de segurança que o primeiro cliente grande vai mandar.