A tela não é a fronteira de segurança
O frontend ajuda o usuário a navegar. A API decide o que ele pode fazer. Se a API confia demais no que veio da tela, cliente A pode tocar dado, plano ou arquivo do cliente B.
Para founder, a pergunta é simples: cada ação confirma dono, papel e contexto antes de responder?
Onde revisar primeiro
- Rotas com ID de cliente, escopo, arquivo ou pedido.
- Alteração de plano, cobrança, cupom e acesso pago.
- Upload, importação e webhook.
- Área administrativa e suporte.
- Exportação de relatório ou dados pessoais.
Checklist prático
- Autorização por recurso, não só por usuário logado.
- Resposta mínima: retornar apenas o que a tela precisa.
- Limite de tentativa em login e ações sensíveis.
- Validação de entrada com schema claro.
- Log de tentativa negada sem expor segredo.
Quando vira pentest
Se a rota pode expor dado de cliente, mexer em cobrança ou alterar acesso, vale validação manual sob escopo. É nesse ponto que triagem deixa de ser checklist e vira evidência.
API segura é aquela que protege o negócio mesmo quando a interface muda.
