Zero-trust como modelo padrão: cada request, cada serviço, cada usuário é autenticado, autorizado e cifrado — independente de origem. mTLS no service-mesh, OAuth2/OIDC para identidade, TLS 1.3 no perímetro, tokenização para dados sensíveis e API gateway com WAF embutido. Defesa em profundidade, não em camadas opcionais.
Segurança moderna não é uma feature — é a soma de primitivas que se reforçam. Identidade verificável, canais cifrados, dados protegidos no repouso e perímetro instrumentado. Falhar em um quebra os outros.
OAuth2 e OpenID Connect para humanos e máquinas. PKCE no flow de aplicativos públicos, client-credentials para serviços, MFA obrigatório em escopos privilegiados.
TLS 1.3 obrigatório no perímetro, mTLS no service-mesh. HSTS preload, certificate pinning em mobile, rotação automática de certificados via SPIFFE/SPIRE.
AES-256-GCM no banco e nos buckets, envelope encryption com KMS, chaves customer-managed (CMK) opcionais. Tokenização para PII e PCI-DSS — o dado real nunca sai do vault.
API gateway centraliza autenticação, rate limiting, circuit breaking e WAF. OWASP Top-10 bloqueado em assinatura + heurística, bot detection, DDoS scrubbing no edge.
Authorization Code com PKCE para apps públicos, Client Credentials para serviços, refresh-token rotation, audience binding e short-lived access tokens. Identidade é o novo perímetro — cada chamada carrega prova de quem é, do que pode e por quanto tempo.
Cifragem em camadas: do cliente ao gateway via TLS 1.3, entre serviços via mTLS automático, dados em repouso com envelope encryption e segredos no vault. Forward secrecy, ciphers modernos e rotação programada.
ECDHE em todas as conexões. Mesmo que a chave privada do servidor vaze no futuro, sessões antigas permanecem cifradas — cada handshake gera material efêmero.
SPIFFE/SPIRE emite identidade workload com TTL curto. Comprometimento de chave tem janela de minutos, não anos. Operação humana zero — automação assina, distribui, revoga.
Híbrido X25519 + ML-KEM (Kyber) avaliado em piloto. Crypto-agility no design — algoritmos são plugáveis, não soldados ao código de aplicação.
PII, PAN, CPF, dados clínicos — tudo trocado por um token de mesmo formato, sem valor fora do vault. Aplicações trabalham com o substituto; o original permanece num cofre auditável, acessível só por serviços com autorização explícita. Reduz drasticamente o blast radius de qualquer vazamento.
FPE (Format-Preserving Encryption) e tokenização determinística mantêm validações, joins e analytics — sem nunca expor o dado real. Detokenização exige autorização explícita, é registrada no audit-log e pode ser revogada por chave.
Toda chamada externa passa pelo gateway antes de tocar uma aplicação. Identidade, quota, schema, throttling, observabilidade e WAF aplicados como políticas declarativas — versionadas em git, revisáveis em pull-request.
TLS 1.3 com SNI, OCSP stapling, ALPN para HTTP/2 e HTTP/3. Ciphers fracos rejeitados na negociação.
OWASP Top-10 + regras customizadas. Inspeção de body, query, header. Bot detection com fingerprint.
Verificação JWT contra JWKS, audience e issuer matching. mTLS para parceiros B2B.
Limite por client_id, IP, endpoint, tier. Token bucket com burst, sliding window. Resposta 429 com Retry-After.
OpenAPI/JSON Schema validado no gateway. Request com payload inesperado morre antes da app.
Cada request gera trace W3C, log estruturado e métricas RED. Decisões de bloqueio auditáveis.
WAF não substitui código seguro — é a rede de proteção. Conjuntos OWASP gerenciados, regras customizadas por aplicação e ML para anomalia. Cada bloqueio é log estruturado; falsos positivos viram regra refinada, não exceção permanente.
Payloads que tentam quebrar parsing SQL — UNION, comentários truncados, encoding anômalo. Detecção por assinatura + parser semântico.
Tags script, event handlers inline, javascript: URIs em query e body. Inspeção contextual de header Content-Type.
URLs apontando para metadata IMDS, ranges privados, ../ encoding em path. Bloqueia ataques contra cloud-metadata.
Bursts de login com listas vazadas. Throttle por IP, fingerprint de bot, CAPTCHA adaptativo, leaked-password check via HIBP.
SYN flood absorvido no edge, amplificação UDP descartada upstream, flood HTTP mitigado por challenge JS + tarpit em camada 7.
CVEs críticos viram regra WAF em horas — virtual patching enquanto o time aplica fix definitivo no código. Janela de exposição mínima.
Frameworks que organizam a operação. Não buscamos selos por marketing — usamos os controles porque são checklist consolidado de boas práticas. Evidências geradas pelo próprio sistema, não por planilha manual.
Conte-nos sobre a superfície de ataque atual, dados sensíveis em jogo e exigências regulatórias. Em uma conversa devolvemos um plano de hardening concreto.