1. Abordagem de Segurança alinhada ao TDD

Adoto Security by Design como parte intrínseca do TDD. Em vez de tratar a segurança apenas como uma etapa posterior, incorporo requisitos de segurança nas histórias de usuário e nos critérios de aceitação. O objetivo é transformar proteções em comportamentos verificáveis desde o início.

• Modelagem de ameaças simples para ativos-chave (dados de clientes, credenciais, endpoints sensíveis) e vias de ataque comuns ao seu domínio.
• Definição de critérios de aceitação de segurança com Given-When-Then ou critérios equivalentes, para que a segurança seja testável da mesma forma que a funcionalidade.
• Defesa por padrão: usar allowlists, validação explícita e configuração segura por padrão para reduzir superfícies de ataque.

2. Validação de Entrada, Saída e Dados Sensíveis

A validação de entrada e a codificação de saída são pilares para evitar vulnerabilidades como XSS, injections e vazamento de dados. Escrevo testes que capturam limites de entrada, bordas e cenários maliciosos para garantir comportamento seguro.

• Validação de entrada: prefiro whitelisting (aceitar apenas o esperado) em vez de listas negras.
• Codificação de saída: aplicar escaping em HTML, JSON e comandos de shell conforme o contexto.
• Proteção de dados sensíveis: evitar logar segredos, usar variáveis de ambiente ou cofres de segredo, e aplicar criptografia quando necessário.

// security/escapeHtml.ts
export function escapeHtml(input: string): string {
  return input
    .replace(/&/g, "&")
    .replace(//g, ">")
    .replace(/"/g, """)
    .replace(/'/g, "'");
}

3. Proteção de dependências e dados em trânsito

Dependências confiáveis e dados protegidos reduzem significativamente a superfície de ataque. Em TDD, a qualidade de código vai de mãos dadas com a confiabilidade das dependências e com práticas de segurar segredos e comunicações.

• Gerenciamento de dependências: mantenha versões atualizadas, verifique CVEs conhecidos e valide checksums de pacotes ao atualizar.
• Segredos e configuração: evite hardcodar senhas; utilize variáveis de ambiente, cofres de segredo ou provedores de identidade para rotear credenciais com controles de acesso apropriados.
• Criptografia e privacidade: assegure criptografia em repouso para dados sensíveis e TLS para dados em trânsito. Revise configurações de cipher suites e rotatividade de chaves conforme o contexto.

4. Estratégias de testes de segurança no TDD

Os testes de segurança em um ciclo TDD devem cobrir não apenas casos funcionais, mas também propriedades de segurança (permissões, ausência de vazamento de dados, comportamento seguro diante de entradas adversas). Em cenário real, combino testes de fronteira, casos de uso autorizados e cenários de falha para reforçar a resiliência.

• Testes de autenticação e autorização: verifique que usuários sem permissão não acessam recursos sensíveis.
• Testes de limites e robustness: validação de entradas extremas, strings malformadas e payloads inesperados.
• Prevenção de vazamento: garanta que erros não exponham detalhes internos, e que logs não registrem dados sensíveis.
• Observabilidade segura: registre eventos relevantes sem expor informações sensíveis; use estruturas de logs consistentes para auditoria.