Revisão de acesso
Login, sessão, recuperação de senha, perfis e rotas: o braço de segurança confere se o acesso é negado por padrão e validado em toda requisição.
Entrega: achados de acesso com a categoria OWASPOcto para segurança de aplicação · braço de segurança
Cada achado com a categoria. Cada risco com dono.
O OWASP Top 10 está na edição 2025, e o controle de acesso quebrado continua em primeiro. O ASVS está na versão 5.0.0, e a versão final do NIST SSDF é a 1.1. Nesta etapa atua o braço de segurança do Octo: revisa login, armazenamento de senha, sessão, recuperação de senha, perfis, rotas sem checagem, arquivos expostos e credenciais no código, e aponta cada achado com a categoria OWASP. O aceite do risco é do líder técnico, e o laudo é assinado por profissional da empresa.
BraçoSegurançaatua nesta etapa
OWASPTop 10 2025A01: controle de acesso
Fontes7listadas no fim da página
01
O que o Octo faz na segurança.
Quatro entregas possíveis. O Octo não emite laudo nem faz teste de intrusão em nome da sua empresa.
Senha guardada do jeito certo
Confere como a senha é armazenada contra a recomendação da OWASP: Argon2id com os parâmetros mínimos, ou bcrypt só em sistema legado.
Entrega: achado com a recomendação de referênciaSegredos fora do código
Procura chave, senha e token no código e na configuração versionada, e propõe a detecção antes do commit.
Entrega: lista de segredos expostos para rotaçãoAchado com categoria e requisito
Cada achado sai com a categoria do OWASP Top 10 2025 e o requisito do ASVS correspondente, para a equipe priorizar com a mesma régua.
Entrega: relatório de achados para o profissional que assina
02
Oito braços, uma superfície conferida.
O mesmo ciclo do Octo, aplicado a esta etapa. Cada braço tem um papel estreito; quem comanda e aprova é o líder técnico da sua empresa.
-
Descoberta
Mapeia a superfície
Rotas, formulários, uploads e arquivos servidos pela web.
-
Dados
Acha o dado sensível
Onde estão senha, sessão e dado pessoal, e quem consegue ler.
-
Segurança
Revisa o acesso
Login, senha, sessão, perfis, rotas sem checagem e credenciais no código.
-
Arquitetura
Planeja a correção
Cada achado vira atividade com plano, ou risco aceito por escrito.
-
Desenvolvimento
Corrige na branch
A correção segue o plano aprovado, como qualquer outra atividade.
-
Revisão
Testa o ataque simples
Perfil de menor privilégio e objeto de outra pessoa, pelo caminho real.
-
Publicação
Publica com o seu ok
Correção de segurança também só vai para produção com a aprovação de quem comanda.
-
Documentação
Registra o achado
O que foi achado, o que foi corrigido e o risco que ficou aceito.
O Octo aponta e corrige com plano; o aceite de cada risco não corrigido, a priorização e a decisão de comunicar um incidente são da sua empresa, e qualquer laudo ou parecer de segurança é assinado por profissional da empresa.
03
As réguas da segurança.
As referências que o braço de segurança usa. As publicações da OWASP, do NIST e da ANPD continuam sendo a referência.
| Referência | O que diz | Uso no Octo |
|---|---|---|
| OWASP Top 10 2025 | A01 controle de acesso; A03 cadeia de suprimentos; A10 condições excepcionais | Categoria de cada achado |
| OWASP ASVS 5.0.0 | Base para testar controles técnicos de segurança de aplicação web | Requisito correspondente |
| NIST SSDF 1.1 | Práticas de desenvolvimento seguro (SP 800-218, fevereiro de 2022) | Práticas do ciclo |
| Resolução CD/ANPD 15/2024 | Comunicação de incidente à ANPD e aos titulares em três dias úteis | Decisão do controlador |
04
Do pedido à rotina.
Três degraus. Cada um só faz sentido depois que o anterior mostrou resultado na sua equipe.
Proposta, não promessa
Revisão de acesso
O braço de segurança revisa o acesso do sistema que você já tem, sem alterar nada.
- Login, senha e sessão
- Perfis e rotas
- Segredos no código
Correções com plano
Cada achado vira atividade com plano ou risco aceito por escrito.
- Correções pequenas e revisadas
- Riscos aceitos registrados
Segurança em toda entrega
Toda atividade que toca acesso passa pelo braço de segurança.
- Revisão de acesso na entrega
- Detecção de segredos antes do commit
05
Confirmado em fonte.
Cada ponto abaixo tem fonte publicada pela organização responsável pela norma, pela especificação ou pela ferramenta, ou em lei federal. As fontes estão na seção seguinte.
8
pontos com fonte publicada, cada um com a referência indicada ao lado.
- ConfirmadoTop 10 2025
- A versão atual do OWASP Top 10 é a de 2025, e o primeiro risco continua sendo o controle de acesso quebrado (A01:2025).Fonte: OWASP, Top 10 2025
- ConfirmadoCategorias novas
- A edição 2025 traz falhas na cadeia de suprimentos de software (A03:2025) e tratamento indevido de condições excepcionais (A10:2025).Fonte: OWASP, Top 10 2025
- ConfirmadoASVS 5.0.0
- O ASVS está na versão 5.0.0, publicada em 30 de maio de 2025, e é base para testar os controles técnicos de segurança de aplicações web.Fonte: OWASP, ASVS
- ConfirmadoNegar por padrão
- A aplicação deve negar acesso por padrão, e a permissão deve ser validada corretamente em toda requisição.Fonte: OWASP, Authorization Cheat Sheet
- ConfirmadoArmazenamento de senha
- Usar Argon2id com no mínimo 19 MiB de memória, 2 iterações e paralelismo 1; bcrypt só em sistema legado, com fator de trabalho 10 ou mais.Fonte: OWASP, Password Storage Cheat Sheet
- ConfirmadoSegredos
- Evitar que segredos entrem no código antes do commit ou do PR, e rodar os segredos com frequência, para que uma credencial roubada valha por pouco tempo.Fonte: OWASP, Secrets Management Cheat Sheet
- ConfirmadoSSDF 1.1
- A versão final do NIST SSDF é a 1.1, publicada em fevereiro de 2022 como SP 800-218.Fonte: NIST, SP 800-218
- ConfirmadoIncidente com dado pessoal
- A comunicação à ANPD e aos titulares deve ser feita pelo controlador no prazo de três dias úteis.Fonte: ANPD, incidente de segurança
06
O que o Octo faz e o que fica com vocês.
O Octo prepara tudo, mas não assina. O documento que vale continua com quem responde por ele.
O Octo prepara
Mapeia, planeja, programa na branch da atividade, revisa com evidência e prepara a publicação: planos, código, revisões, relatórios de segurança e o dossiê do sistema.
Entrega: material pronto para conferirA sua equipe confere
Quem comanda é o líder técnico ou o desenvolvedor sênior da empresa: aprova o plano, revisa o PR e faz o merge. Nada vai para produção sem a aprovação de quem comanda.
Etapa: aprovação por quem comandaQuem assina e responde
O Octo não assina e não responde pelo sistema. Quem aceita o risco e responde pelo sistema em produção é o líder técnico; laudo ou parecer de segurança é assinado por profissional da empresa.
Responsável: líder técnico da empresa
07
Fontes.
OWASP, NIST e Autoridade Nacional de Proteção de Dados. Consultadas em 31/10/2026.
- OWASP: Top 10, edição 2025Os dez riscos de aplicação web
- OWASP: ASVS 5.0.0Versão, data e uso
- OWASP: Authorization Cheat SheetNegar por padrão e validar em toda requisição
- OWASP: Password Storage Cheat SheetArgon2id e bcrypt
- OWASP: Secrets Management Cheat SheetDetecção antes do commit e rotação
- NIST: SP 800-218, SSDF 1.1Versão final, fevereiro de 2022
- ANPD: incidente de segurançaPrazo de comunicação
Cada risco com um dono.
O diagnóstico começa pela revisão de acesso do sistema que você já tem, sem alterar nada. Você recebe os achados com a categoria e decide com eles na mão.