Segurança no pipeline: o que fazer antes do pentest

O pentest anual tem valor, mas chega tarde por definição: ele avalia o que já está em produção. As camadas que impedem a vulnerabilidade de chegar lá são mais baratas, rodam a cada commit e raramente estão completas.

As camadas, em ordem de retorno

1. Detecção de segredo no commit: credencial versionada é a falha mais comum e a mais fácil de bloquear. Rode no hook local e no CI.
2. Varredura de dependências: a maior parte do código em produção não foi escrita pelo seu time. Alerte por severidade e falhe o build no que for crítico e explorável.
3. Análise estática: SAST focado em código novo, para que uma base legada não gere ruído que faz o time ignorar o relatório.
4. Varredura de imagem: contêiner com sistema base desatualizado carrega dezenas de vulnerabilidades conhecidas.
5. Verificação de infraestrutura como código: bucket público, porta aberta e regra permissiva demais são detectáveis no plano do Terraform, antes de existirem.

O erro que anula todas elas

Ativar tudo com severidade máxima no primeiro dia. O pipeline passa a falhar constantemente, o time cria o hábito de ignorar ou contornar, e a esteira de segurança vira ritual. Comece bloqueando apenas o crítico em código novo e amplie o escopo por trimestre.

Controle de segurança que o time aprende a contornar é pior do que controle nenhum: consome esforço e produz a sensação de proteção.

Segredos e privilégio

• Segredo em cofre gerenciado (Key Vault, Secrets Manager), nunca em variável de ambiente versionada.
• Identidade gerenciada em vez de credencial estática sempre que a plataforma oferecer.
• Rotação automatizada, com o procedimento testado — rotação que nunca foi exercitada falha justamente no incidente.
• Menor privilégio verificado periodicamente: permissão concedida "temporariamente" é permanente por padrão.

Nenhuma dessas medidas substitui o pentest. Elas garantem que o pentest encontre problemas de lógica de negócio, e não credencial exposta no repositório — que é onde o orçamento de segurança deveria ser gasto.