Teste de segurança para apps feitos no Base44

Em 2025, um bypass por ID público permitiu entrar em apps privados do Base44 sem autenticação. O padrão vale para qualquer app: identificador público não é controle de acesso.

Em uma frase: No Base44, ID público não é autorização: qualquer identificador pode virar chave de entrada.

Por que isso acontece no Base44

O caso de 2025 mostrou que ID público não é autorização. O padrão se repete: o identificador do app vira a chave, e o servidor confia nele para decidir acesso.

O que costuma ficar aberto

1. Acesso por ID público. O identificador do app vira chave de entrada.
2. Isolamento entre apps. Dados de um app acessíveis a partir de outro.
3. Autenticação incompleta. Fluxo de login que pula verificação de papel.
4. Storage sem regra. Upload e leitura sem checar dono.
5. Lógica de negócio no cliente. Preço e permissão calculados no front.

Exemplo real

Identificador público usado como autorização

GET /api/apps/<id-público>/data HTTP/2
(sem autenticação)

200 · dados privados do app

O ID do app é previsível e suficiente para abrir área privada sem login.

O que testamos

Vinte verificações: OWASP API Top 10 aplicado ao stack, mais configuração de banco, segredos no bundle, sourcemaps, CORS, rotas de debug e limite de uso. Onze rodam automatizadas; as demais entram na revisão manual de autorização.

O teste cobre isolamento entre apps, papéis no fluxo de login, regras de storage e lógica de negócio calculada no cliente.

Como o laudo trata esse achado

A evidência entra com método, caminho e resposta redigida; a severidade considera o que um atacante obtém sem credencial; a correção é escrita para o seu stack, não como aviso genérico. O que não conseguimos reproduzir fica fora do laudo.

Como testar em 10 minutos

1. Copie o ID público do app
2. Tente abrir a área privada sem login
3. Troque o ID por outro app
4. Verifique upload sem sessão

O que o teste não cobre

• Não cobre a plataforma em si
• Não revisa código proprietário
• Não garante correção

Como funciona

1. Call de 15 minutos para fechar escopo, alvo e autorização.
2. Proposta com valor e prazo em 24h.
3. Teste em 48h, com laudo e correção escrita.

Sinais de que você precisa

• O ID do app circula em links públicos.
• Área privada abre sem autenticação.
• Dados de um app aparecem em outro.

Checklist rápido

• ID público como autorização
• Isolamento entre apps
• Storage sem regra
• Login sem checagem de papel
• Preço calculado no cliente
• Rate limit

O que fazer agora

• Nunca tratar ID público como autorização.
• Checar dono e papel no servidor, por app.
• Revisar regras de storage e upload.

Veja também todas as verificações e o checklist de 12 itens.