A sua página de administração está na internet

A maioria dos sites tem partes que só você deveria usar, como um painel de administração, um dashboard ou a conexão que o seu app usa para ler o banco de dados. Se elas estiverem no mesmo endereço público do seu site, qualquer pessoa pode encontrá-las.

Ser alcançável não é um problema por si só. O problema começa quando algo alcançável também responde sem perguntar quem você é.

O que uma verificação procura

• Uma conexão de dados que retorna registros sem login, como uma tabela do banco de dados ou uma lista de usuários que deveria ser privada.
• Uma API que atende algumas requisições com login e as mesmas requisições sem login.
• Ferramentas feitas para desenvolvedores, como uma lista pública de todas as ações da API ou um explorador de consultas, deixadas ativas no site no ar.
• Cookies de login visíveis para scripts da página.

Isso aparece com frequência em apps feitos às pressas com serviços como Supabase ou Firebase, em que as regras de acesso começam abertas enquanto você constrói e são fáceis de esquecer.

O que fazer

Confira as regras de acesso de cada fonte de dados que o seu app usa, para que cada uma responda apenas a pessoas autenticadas e autorizadas. Desative as ferramentas de desenvolvedor no site no ar. Quando possível, coloque o painel de administração atrás de um login extra ou em um endereço que só a sua equipe usa.

Uma verificação informa o que respondeu, com a requisição que enviou, para que o seu desenvolvedor possa repeti-la.