Segurança em marketplace digital: o mínimo que todo sistema precisa ter

Um marketplace concentra três coisas atraentes para quem tem má intenção: dinheiro em trânsito, dados pessoais de compradores e arquivos que valem dinheiro. Vale tratar segurança como requisito, não como melhoria futura.

1. Senha nunca em texto puro

Parece óbvio e ainda aparece por aí. Use uma função de hash própria para senha — nada de algoritmos antigos, que foram feitos para ser rápidos, exatamente o oposto do que se quer aqui.

2. Consulta ao banco sempre parametrizada

Concatenar entrada do usuário direto na consulta continua sendo a falha mais explorada da web. Consultas preparadas resolvem, e não custam nada.

3. Escape na saída, sempre

Todo dado que veio do usuário precisa ser tratado antes de virar página. Nome de projeto, comentário, biografia, mensagem no chat. Se você aceita formatação de um editor, higienize no servidor — validação no navegador não é proteção, é conveniência.

4. Token em toda ação que altera dados

Sem isso, um site malicioso consegue fazer o navegador do seu usuário logado executar ações sem ele perceber. Vale para formulário e para chamada em segundo plano.

5. Upload é sempre suspeito

Aqui mora o risco mais sério de um marketplace, porque a função do site é justamente receber arquivos. O mínimo:

• Conferir o tipo real do arquivo, não só a extensão
• Gravar com nome aleatório, nunca o nome enviado
• Desabilitar execução de programas na pasta de uploads
• Higienizar imagens vetoriais, que podem conter código
• Limitar tamanho e quantidade

Se um arquivo enviado por um usuário puder ser executado pelo servidor, você não tem mais um site — tem um servidor de outra pessoa.

6. Arquivo pago não fica em endereço público

De nada adianta cobrar se o link vaza e circula. A entrega precisa passar por verificação de compra, com link temporário e individual.

7. Notificação de pagamento autenticada

O endereço que recebe o aviso do gateway é público — qualquer um pode chamar. Sem validação de assinatura ou token, alguém pode simular um pagamento aprovado e sair com os arquivos de graça. Valide sempre, e processe cada evento uma única vez.

8. Sessão bem configurada

Cookie inacessível ao JavaScript, restrito ao próprio site, transmitido só por conexão segura, e com o identificador regenerado no login para evitar fixação de sessão.

Os erros mais comuns na hora de publicar

• Deixar o modo de depuração ligado, exibindo caminhos e credenciais no erro
• Esquecer o instalador no servidor depois de instalar
• Arquivo de configuração acessível pelo navegador
• Backup do banco na pasta pública
• Conta de administrador com senha fraca

Nenhum desses itens é difícil. São meia dúzia de decisões tomadas cedo que evitam o tipo de problema que não dá para desfazer depois.