Relatório de segurança: DemoAgenda

Tabela de agendamentos pode ser lida sem login

O que isso significa: qualquer visitante pode baixar nomes, telefones e horários dos clientes.

Como reproduzir

curl "https://PROJETO.supabase.co/rest/v1/agendamentos?select=*&limit=1" \
  -H "apikey: CHAVE_PUBLICA_ANON"

Resultado: a API devolveu um registro fictício sem sessão. O teste parou no primeiro registro, como definido no escopo.

Causa

A regra de segurança por linha (RLS) está desligada na tabela. A chave pública é visível no navegador por natureza, então não pode ser a única proteção.

Correção

alter table public.agendamentos enable row level security;

create policy "usuario le os proprios agendamentos"
on public.agendamentos for select
to authenticated
using ((select auth.uid()) = usuario_id);

Repita a revisão nas operações de inclusão, alteração e exclusão, e nas demais tabelas.

Prompt para sua ferramenta de IA

Ative RLS em todas as tabelas públicas do Supabase. Crie políticas para que cada
usuário acesse apenas registros em que usuario_id seja igual a auth.uid(). Liste
cada política e não use "using (true)".

Chave administrativa enviada ao navegador

O que isso significa: quem encontrar a chave pode ignorar as regras do banco, ler, alterar ou apagar dados.

Evidência

O arquivo JavaScript público contém o valor de NEXT_PUBLIC_SUPABASE_SERVICE_ROLE. A chave foi identificada, mas não utilizada.

Correção

1. Gerar uma nova chave no Supabase e revogar a atual.
2. Renomear a variável, retirando o prefixo NEXT_PUBLIC_.
3. Usar a chave somente no servidor e publicar novamente.
4. Revisar registros de acesso em busca de uso desconhecido.

Usuário abre fatura de outro cliente ao trocar o ID

O que isso significa: um cliente logado pode ver dados e valores de outro.

Como reproduzir

1. Entrar com a conta de teste A.
2. Abrir /api/faturas/1048, que pertence à conta de teste B.
3. Observar que a API responde 200 com os dados da fatura.

Correção

const fatura = await buscarFatura(id);
if (!fatura || fatura.usuarioId !== sessao.usuarioId) {
  return Response.json({ erro: "Não encontrada" }, { status: 404 });
}

Webhook de pagamento aceita evento sem assinatura

O que isso significa: uma pessoa pode tentar ativar um plano pago enviando um aviso falso de pagamento.

Evidência

No ambiente de teste, um evento fictício sem o cabeçalho Stripe-Signature foi aceito e alterou uma conta de teste.

Correção

const corpo = await request.text();
const assinatura = request.headers.get("stripe-signature");
const evento = stripe.webhooks.constructEvent(
  corpo,
  assinatura,
  process.env.STRIPE_WEBHOOK_SECRET
);

Trate falha de validação como erro 400 e não altere a conta.

Login sem limite de tentativas

Foram feitas 30 tentativas controladas contra uma conta de teste, sem bloqueio ou atraso.

Correção: aplicar limite por conta e por IP, atraso progressivo e alerta para volume anormal.

Assistente de IA sem limite de uso

Uma conta comum pode fazer pedidos sem cota, o que pode gerar custo inesperado.

Correção: definir limite por usuário, limite de tamanho, teto mensal no provedor e alerta de gasto. Não permitir que texto do usuário amplie as permissões do assistente.

Cabeçalhos de segurança ausentes

Não foram encontrados Content-Security-Policy e X-Content-Type-Options.

Correção: configurar os cabeçalhos e testar para não bloquear scripts legítimos.