Teste de segurança para código escrito com Claude Code

Claude Code edita vários arquivos de uma vez e acelera a entrega. A autorização, porém, continua sendo responsabilidade de quem revisa — e é isso que testamos na API.

Em uma frase: Claude Code cria rotas em série; sem middleware, a autorização fica só no front.

Por que isso acontece no Claude Code

O agente cria rotas, componentes e chamadas de banco em uma sessão. Quando o middleware de sessão não é mencionado no pedido, ele não aparece em todas as rotas.

O que costuma ficar aberto

1. Rota nova sem sessão. O handler foi criado, mas a verificação de usuário ficou de fora.
2. Segredo em arquivo. Chave em .env commitado ou embutida no build.
3. Validação no componente. O servidor aceita payload que o formulário não permitiria.
4. Middleware parcial. Algumas rotas passam pelo auth, outras não.
5. Dependência sugerida. Pacote que o modelo conhece, mas não existe no registro.

Exemplo real

Rota criada na sessão, sem middleware

GET /api/orders HTTP/2
(sem cookie de sessão)

200 · pedidos de todos os usuários

O agente entregou o handler e o componente; a checagem de sessão ficou só no front.

O que testamos

Vinte verificações: OWASP API Top 10 aplicado ao stack, mais configuração de banco, segredos no bundle, sourcemaps, CORS, rotas de debug e limite de uso. Onze rodam automatizadas; as demais entram na revisão manual de autorização.

O teste cobre middleware ausente em parte das rotas, segredo em arquivo commitado, validação só no cliente, CORS e dependência sugerida sem revisão.

Como o laudo trata esse achado

A evidência entra com método, caminho e resposta redigida; a severidade considera o que um atacante obtém sem credencial; a correção é escrita para o seu stack, não como aviso genérico. O que não conseguimos reproduzir fica fora do laudo.

Como testar em 10 minutos

1. Liste as rotas criadas na última sessão
2. Chame cada uma sem sessão
3. Procure segredo no histórico
4. Rode a suíte de testes de auth

O que o teste não cobre

• Não cobre regra de negócio
• Não substitui revisão humana
• Não corrige o código

Como funciona

1. Call de 15 minutos para fechar escopo, alvo e autorização.
2. Proposta com valor e prazo em 24h.
3. Teste em 48h, com laudo e correção escrita.

Sinais de que você precisa

• O agente criou rotas novas nesta semana.
• Existe .env no histórico do git.
• A autorização aparece no componente, não no handler.

Checklist rápido

• Middleware em todas as rotas
• .env no histórico do git
• Validação no servidor
• CORS restrito
• Dependência revisada
• Teste de autorização

O que fazer agora

• Aplicar auth no middleware e cobrir todas as rotas.
• Rodar varredura de segredos no pre-commit e no CI.
• Adicionar um teste de autorização por rota crítica.

Veja também todas as verificações e o checklist de 12 itens.