Teste de segurança para apps feitos no Bolt

No Bolt, o backend nasce junto com a interface e nem sempre passa por revisão de autorização. Testamos o que está exposto na API antes de você receber cliente.

Em uma frase: No Bolt, a rota de dados nasce antes do middleware: o front exige login e a API não.

Por que isso acontece no Bolt

No Bolt, front e backend são gerados juntos. A rota que alimenta a tela costuma ser criada antes de existir middleware de sessão, e a variável de ambiente acaba no cliente.

O que costuma ficar aberto

1. Backend exposto sem auth. Rotas de dados respondem sem sessão.
2. Variáveis de ambiente no cliente. Segredo de serviço vaza no bundle.
3. Storage público. Arquivo acessível por URL previsível.
4. Validação só no formulário. O servidor aceita payload inválido.
5. Sem limite de uso. Login e endpoints de IA sem 429.

Exemplo real

Rota de dados aberta, sem cookie

GET /api/items HTTP/2
(aba anônima, sem cookie)

200 · 2.310 itens · inclui dono e e-mail

O front exige login, mas a rota que alimenta a tela não verifica a sessão.

O que testamos

Vinte verificações: OWASP API Top 10 aplicado ao stack, mais configuração de banco, segredos no bundle, sourcemaps, CORS, rotas de debug e limite de uso. Onze rodam automatizadas; as demais entram na revisão manual de autorização.

O teste também verifica storage público, validação server-side, headers e o inventário de rotas antigas que continuam vivas.

Como o laudo trata esse achado

A evidência entra com método, caminho e resposta redigida; a severidade considera o que um atacante obtém sem credencial; a correção é escrita para o seu stack, não como aviso genérico. O que não conseguimos reproduzir fica fora do laudo.

Como testar em 10 minutos

1. Liste as rotas que a tela chama
2. Repita cada uma sem cookie
3. Envie um payload inválido direto
4. Dispare 20 requisições seguidas

O que o teste não cobre

• Não cobre fluxo de aprovação
• Não revisa o código-fonte
• Não mede impacto financeiro

Como funciona

1. Call de 15 minutos para fechar escopo, alvo e autorização.
2. Proposta com valor e prazo em 24h.
3. Teste em 48h, com laudo e correção escrita.

Sinais de que você precisa

• Rotas de dados respondem sem cookie.
• Segredo de serviço aparece no bundle.
• O storage entrega arquivo por URL previsível.

Checklist rápido

• Rotas de dados sem cookie
• Segredo no bundle
• Storage por URL previsível
• Payload inválido aceito
• Rate limit no login
• CORS com credenciais

O que fazer agora

• Exigir sessão em todo handler que devolve dado.
• Mover segredo para variável de servidor e rotacionar.
• Aplicar rate limit e validar payload no servidor.

Veja também todas as verificações e o checklist de 12 itens.