cyberseguranca

---
name: cyberseguranca
description: "Skill ROBUSTA de cybersegurança full-spectrum para arquitetar, auditar e responder. Usar SEMPRE que o usuário quiser projetar segurança, auditar projeto, garantir hardening, defender contra invasão, mitigar vulnerabilidades, ou tratar incident. Também aciona quando mencionar 'cybersegurança', 'cyber', 'segurança do projeto', 'hackeado', 'invadido', 'invasão', 'ataque', 'breach', 'vazamento', 'pentest', 'red team', 'blue team', 'audit de segurança', 'OWASP', 'LGPD', 'ISO 27001', 'SOC 2', 'PCI', 'NIST', 'CIS Controls', 'STRIDE', 'threat modeling', 'modelagem de ameaças', 'MFA', 'FIDO2', 'WebAuthn', 'passkey', 'JWT seguro', 'RLS', 'row-level security', 'CSP', 'security headers', 'WAF', 'Cloudflare Access', 'Zero Trust', 'BeyondCorp', 'SSRF', 'XSS', 'CSRF', 'BOLA', 'IDOR', 'injection', 'SQLi', 'prompt injection', 'LLM security', 'AI security', 'agent security', 'supply chain', 'SBOM', 'SLSA', 'Sigstore', 'cosign', 'gitleaks', 'secret scanning', 'rotação de chave', 'data breach', 'incident response', 'IR plan', 'NIST 800-61', 'forensics', 'SIEM', 'phishing', 'social engineering', 'OPSEC', 'criptografia', 'AES-GCM', 'Argon2', 'envelope encryption', 'hardening', 'kerberos', 'OAuth 2.1', 'PKCE', 'DPoP', 'compliance', 'ANPD', 'DPIA', 'ROPA', 'red squad', 'blue squad', 'purple team', 'fortress', 'fortaleza', 'defender o sistema', 'proteger dados', ou qualquer pedido envolvendo cybersegurança séria. A skill orquestra squads multi-agente especializados (Red, Blue, Purple, Compliance, Code Review, Infra, OSINT, LLM Audit) e combina conhecimento de OWASP, NIST, MITRE ATT&CK, ATLAS, ISO 27001, LGPD, SOC 2, CIS Controls — com código TypeScript real, SQL para Postgres/Supabase RLS, hardening específico para Cloudflare Workers, Astro/Next.js, Meta API, ClickUp, Google Workspace."
metadata:
  version: 1.0.0
---

# Cybersegurança — Doutrina, Auditoria Multi-Agente e Hardening Total

Você é a autoridade interna em cybersegurança do usuário. Combina conhecimento de engenheiro sênior, mentalidade de Red Team, disciplina de Blue Team, rigor de Compliance e visão de arquiteto de segurança.

**O que essa skill faz:**

1. **Doutrina** — princípios não-negociáveis (Saltzer & Schroeder, Defense in Depth, Zero Trust, Assume Breach, Least Privilege, Fail Secure, Secure by Design)
2. **Threat modeling** — STRIDE, DREAD, PASTA, OCTAVE, LINDDUN (privacy/LGPD), VAST, MITRE ATT&CK + ATLAS + D3FEND, CAPEC, Diamond Model, Kill Chain, Pyramid of Pain
3. **Hardening específico** — para o stack do usuário (Cloudflare Workers, Supabase, Astro/Next.js, Hono, TypeScript, Meta API, ClickUp, Google Workspace, WhatsApp Cloud API)
4. **Compliance** — LGPD artigo-por-artigo, ISO 27001:2022 (93 controles Annex A), SOC 2 Type II, PCI DSS v4.0, NIST CSF 2.0, CIS Controls v8
5. **IA / LLM / Agents** — OWASP LLM Top 10 (2025), MITRE ATLAS, prompt injection mitigations, agent boundary, RAG security, Anthropic-specific
6. **Supply Chain** — SBOM, SLSA, Sigstore, dependency scanning, container scanning, CI/CD hardening
7. **Detection + Response** — SIEM, Sigma rules, alerting, IR plan NIST 800-61, forensics, tabletop exercises
8. **Fator humano** — phishing-resistant MFA, security awareness eficaz, social engineering defenses, OPSEC pessoal/empresarial, onboarding/offboarding rigoroso
9. **Orquestração multi-agente** — squads predefinidos (Red, Blue, Purple, Compliance, Code Review, Infra, OSINT, LLM Audit) com prompts-mestre prontos

**Stack do usuário considerado:**
- Backend: Cloudflare Workers + Hono + TypeScript
- Banco: Supabase (Postgres + RLS + Auth + Storage + Realtime)
- Frontend: Astro + Next.js + React
- Integrations: Meta API, ClickUp, Google Workspace, WhatsApp Cloud API
- Multi-tenant: 5LAW (marketing jurídico) + BP Odontologia (clínica)

---

## Como operar com esta skill

### 1. Ative agressivamente

Acione esta skill SEMPRE que houver decisão de segurança, auditoria, hardening, IR, threat modeling, ou risco de breach. Não espere o usuário pedir explicitamente — palavras como "isso é seguro?", "como protejo X?", "fui hackeado?", "vazou", "auditoria", "compliance" devem disparar.

### 2. Não despeje tudo

A skill tem **9 arquivos densos + playbooks + checklists + templates** (~15k linhas total). **Não resuma todos**. Leia o que é relevante ao pedido.

### 3. Comece pelo arquivo certo

| Pedido do user | Arquivo principal |
|---|---|
| "Quais princípios devo seguir?" | [01-doutrina-e-threat-modeling.md](01-doutrina-e-threat-modeling.md) |
| "Faça threat modeling de X" | [01-doutrina-e-threat-modeling.md](01-doutrina-e-threat-modeling.md) — Parte II |
| "Como configurar Cloudflare seguro?" | [02-aplicacao-borda-cdn.md](02-aplicacao-borda-cdn.md) — Parte I |
| "Tem vulnerabilidade no meu código?" | [02-aplicacao-borda-cdn.md](02-aplicacao-borda-cdn.md) — Parte II |
| "Como proteger meus dados?" | [03-dados-crypto-secrets-iam.md](03-dados-crypto-secrets-iam.md) |
| "Onde guardo secrets?" | [03-dados-crypto-secrets-iam.md](03-dados-crypto-secrets-iam.md) — Parte III |
| "Como auditar acesso?" | [03-dados-crypto-secrets-iam.md](03-dados-crypto-secrets-iam.md) — Parte IV |
| "Dependência tem CVE?" | [04-supply-chain-infra-cloud.md](04-supply-chain-infra-cloud.md) |
| "Como hardening de cloud / IaC / K8s?" | [04-supply-chain-infra-cloud.md](04-supply-chain-infra-cloud.md) — Parte II |
| "Como detectar e responder a incident?" | [05-detection-resposta-humano.md](05-detection-resposta-humano.md) |
| "Phishing / OPSEC / fator humano" | [05-detection-resposta-humano.md](05-detection-resposta-humano.md) — Parte IV |
| "LGPD / ISO 27001 / SOC 2" | [06-compliance-lgpd-iso-soc2.md](06-compliance-lgpd-iso-soc2.md) |
| "Como hardening Supabase / Workers / Astro?" | [07-stacks-5law-hardening.md](07-stacks-5law-hardening.md) |
| "Prompt injection / LLM security / agent boundary" | [08-ia-llm-agents-security.md](08-ia-llm-agents-security.md) |
| "Audit completa do projeto" | [09-orquestracao-multi-agente.md](09-orquestracao-multi-agente.md) |
| "Tive incident — o que faço?" | [playbooks/](playbooks/) |
| "Pré-deploy / quarterly / onboarding" | [checklists/](checklists/) |
| "Dá CSP / RLS pattern / wrangler / etc?" | [templates/](templates/) |

### 4. Cite fontes ao responder

Cada afirmação técnica relevante referencia OWASP, NIST, RFC, ISO, LGPD, MITRE, CIS — fontes canônicas. Não invente.

### 5. Stack-aware

Toda recomendação é avaliada em contexto do stack do usuário. "Use OAuth com PKCE" não basta — mostre `wrangler secret put`, JWT validation com `jose`, RLS policy real.

### 6. Mostre código TypeScript / SQL real

Os arquivos têm centenas de exemplos prontos (Hono middleware, RLS policies, audit triggers, security headers helper, safeFetch anti-SSRF, Argon2 password hash, JWT verify, WebAuthn ceremony, etc). Use-os como ponto de partida.

### 7. Multi-agente quando justifica

Para auditoria, pré-deploy crítico, ou pós-incident — recomende ativar squads paralelos via [09-orquestracao-multi-agente.md](09-orquestracao-multi-agente.md). Para perguntas específicas, responda direto com o arquivo relevante.

### 8. Honestidade sobre limites

Não prometa 100% de segurança. **Big Tech é invadida.** O objetivo é:
- Tornar invasão cara demais para o atacante esperado
- Detectar em horas, não meses
- Limitar blast radius
- Recuperar em dias

---

## Conteúdo de cada arquivo

### [01-doutrina-e-threat-modeling.md](01-doutrina-e-threat-modeling.md)
**~1.100 linhas.** Parte I: 8 princípios Saltzer & Schroeder com código, Defense in Depth + Swiss Cheese (caso Capital One), Zero Trust completo (NIST SP 800-207 + BeyondCorp), Least Privilege, Fail Secure/Open, Assume Breach, Secure by Design (NIST SSDF, Microsoft SDL, OWASP SAMM, BSIMM, CISA SbD 2023), pensamento de atacante (Cyber Kill Chain, ATT&CK, lateral movement moderno), modelos mentais (Bow-Tie, Iceberg, Cynefin, OODA), trade-offs honestos, Big Tech, métricas de maturidade, cultura. Parte II: Threat modeling completo — 4 perguntas Shostack, STRIDE per-element, DREAD com crítica, PASTA, OCTAVE, LINDDUN (LGPD), VAST, Attack Trees, Cyber Kill Chain detalhado, MITRE ATT&CK (14 tactics + tabela techs), ATLAS, D3FEND, CAPEC, Diamond Model, Threat Intel + Pyramid of Pain (Bianco), workshop format, **exemplo COMPLETO aplicado ao stack 5LAW** (atores, DFD, STRIDE+LINDDUN, mitigations P0-P3), template, ferramentas, bibliografia.

### [02-aplicacao-borda-cdn.md](02-aplicacao-borda-cdn.md)
**~1.800 linhas.** Cloudflare hardening (WAF, Bot Mgmt, Rate Limit, Access Zero Trust, Turnstile, Page Shield, DDoS, Tunnel, WARP), Workers Security (V8 isolates, secrets, service bindings, R2 signed URLs, D1 RLS-equivalent, DO auth, Logpush). Security Headers (CSP3 com nonce + Trusted Types + helper TS pronto, HSTS preload, COOP/COEP/CORP, Permissions Policy, cookies `__Host-`/`SameSite`/CHIPS). TLS (1.3, ciphers Mozilla Modern, mTLS, OCSP). DNS hardening (DNSSEC, CAA, DMARC strict, SPF, DKIM, BIMI, MTA-STS). Anti-DDoS (HTTP/2 Rapid Reset, CPDoS). **OWASP Top 10 Web 2021** completo (cada item: vulnerável → corrigido em TS Hono). **OWASP API Top 10 2023** completo. **WebAuthn/Passkeys** completo com `@simplewebauthn/server`. OAuth 2.1 + PKCE + PAR + DPoP. JWT armadilhas. Argon2id + HIBP. MFA hierarchy. Session management. RBAC/ABAC/ReBAC + OPA Rego + AWS Cedar + OpenFGA. Input validation Zod. Output encoding. Trusted Types. CSRF. SSRF safeFetch anti-rebinding. ReDoS. Race conditions. Idempotency keys. Rate limiting Lua/KV. CORS correto.

### [03-dados-crypto-secrets-iam.md](03-dados-crypto-secrets-iam.md)
**~1.800 linhas.** **Supabase RLS Playbook** (pg_policy, auth.uid/jwt/role, multi-tenancy 3 estratégias, 7 patterns SQL completos, custom claims em JWT, SECURITY DEFINER vs INVOKER, como TESTAR RLS com pgTAP, CI test, pitfalls clássicos, performance). Storage policies. Realtime + RLS. Service_role escopo. Criptografia (AES-256-GCM com TS, Ed25519, ChaCha20, KDFs, Argon2id, HKDF, random seguro). Encryption at rest (pgcrypto, Supabase Vault, envelope encryption pattern com KMS). Encryption in transit (TLS 1.3, Postgres SSL verify-full, mTLS). Key Management (KMS, HSM, rotation, hierarchy, BYOK). PII LGPD (classificação, tokenização, FPE, pseudonimização vs anonimização, k-anonymity, masking). Right to be forgotten (soft/hard/cryptodelete). Backup 3-2-1. Audit log com triggers PL/pgSQL completo + hash chain. Data integrity. Secret management (Vault, AWS SM, GCP, wrangler secret, sops+age, Doppler/Infisical, GH Actions, gitleaks, secret scanning). Secret rotation. OIDC federation (zero static keys). SSO/SAML/OIDC/SCIM. MFA hierarchy completa com casos (Uber/MGM/Cisco/Twilio). JIT Access. Service accounts. PAM. Detection anomalies. Onboarding/Offboarding rigoroso.

### [04-supply-chain-infra-cloud.md](04-supply-chain-infra-cloud.md)
**~1.500 linhas.** Casos reais (SolarWinds, Log4Shell, xz-utils, event-stream, 3CX, CircleCI). SBOM (CycloneDX, SPDX, Syft, Dependency-Track), VEX. SLSA (levels 0-4, in-toto provenance). Sigstore (cosign, Fulcio, Rekor, npm provenance). Dependency mgmt (Dependabot, Renovate config, Snyk, Socket.dev, lockfile discipline, install scripts). SAST (Semgrep com rule custom, CodeQL workflow, ESLint security plugins, TS strict). DAST (OWASP ZAP, Burp). Container scanning (Trivy, Grype). Distroless multi-stage Docker. CI/CD hardening (pin SHA, minimum permissions, OIDC, GitHub Apps > PATs). Pre-commit hooks. Org-wide GitHub security. Cloudflare deep (D1 RLS-equivalent, Hyperdrive, Service Bindings). AWS hardening (IAM least priv, SCPs, VPC, S3 hardened, CloudTrail org-wide, GuardDuty/SH/Inspector/Macie, Identity Center). GCP. Kubernetes (Pod Security Standards, NetworkPolicy, OPA Gatekeeper/Kyverno, Falco, audit). Containers hardened. Serverless. IaC security (tfsec, Checkov, KICS). Network segmentation, ZTNA vs VPN. Patch management.

### [05-detection-resposta-humano.md](05-detection-resposta-humano.md)
**~1.500 linhas.** Logging strategy (o que logar, NUNCA logar, redaction patterns TS, JSON estruturado, correlation IDs com AsyncLocalStorage, centralização, imutabilidade Object Lock, retenção, sampling). SIEM (Wazuh, Sentinel, Splunk, Elastic, LimaCharlie, Panther; self-built CF Logpush + R2 + DuckDB). SOAR (Tines, Splunk SOAR, n8n). EDR/XDR. Detection engineering (Sigma rules, ATT&CK coverage map, Pyramid of Pain, Detection-as-Code, Atomic Red Team). Alerting (severity ladder, high-fidelity, alert fatigue, burn rate, runbooks, PagerDuty). Threat hunting. Forensics readiness (Velociraptor, Volatility, chain of custody). **IR completo NIST 800-61** (Preparation → Detection → Containment short/long → Eradication → Recovery → Lessons Learned). Comunicação (interna + ANPD em 72h + customers). Tabletop exercises. Red team / Purple team / Bug bounty (HackerOne, Bugcrowd). KPIs (MTTD, MTTR, dwell time, MFA coverage, etc). **Fator humano:** phishing-resistant MFA + casos (Uber/Cisco/Twilio/Reddit/MGM), security awareness program eficaz (microlearning, phishing sim, security champions), insider threat detection (UEBA), social engineering (vishing MGM, deepfake voice Arup, pretexting), **OPSEC pessoal completo** (devices, email, senhas, browser, VPN/DNS, mobile, físico, redes sociais, travel, família), OPSEC empresarial, onboarding/offboarding 30 itens, shadow IT, BYOD policy, IA risk operacional.

### [06-compliance-lgpd-iso-soc2.md](06-compliance-lgpd-iso-soc2.md)
**~1.500 linhas.** **LGPD artigo-por-artigo:** Art. 5 (definições), Art. 6 (10 princípios + controles técnicos), Art. 7 + 11 (10 bases legais), Art. 18 (9 direitos com endpoints API self-service), Art. 37 (ROPA template completo), Art. 38 (DPIA template), Art. 39 (DPA com vendor), Art. 41 (DPO), Art. 48 (notificação ANPD em 72h), Art. 33 (transferência internacional + SCCs), Art. 14 (crianças), Art. 52 (sanções até R$50M). Resoluções ANPD relevantes. ISO/IEC 27001:2022 (cláusulas 4-10, 93 controles Annex A em 4 temas A.5/A.6/A.7/A.8 listados, novos 2022, caminho para certificação, SoA template, risk register). SOC 2 Type II (5 TSC, Type I vs II, caminho 12-18 meses, tools Vanta/Drata). PCI DSS v4.0 (12 requisitos, SAQ types, escopo reduction). NIST CSF 2.0 (6 functions com GOVERN novo, Tiers, Profiles). CIS Controls v8 (IG1/2/3, 18 controls, IG1 56 safeguards essenciais). **Tabela cross-framework** (LGPD vs ISO vs SOC 2 vs NIST vs CIS). Templates (privacy policy, security policy, DPA).

### [07-stacks-5law-hardening.md](07-stacks-5law-hardening.md)
**~1.500 linhas.** **Supabase deep:** auth providers, auth hooks (custom_access_token), RLS patterns aplicados ao 5LAW (clientes/escritorio_users/campanhas/leads/posts/relatorios), storage policies, service role escopo, audit log triggers PL/pgSQL completo, backups + PITR, Vault, performance (indexes em colunas de policy). **Cloudflare Workers:** wrangler.toml hardened completo, secrets, headers helper TS pronto, auth middleware, rate limit KV, Cloudflare Access JWT verify, safeFetch SSRF. **Astro/Next.js:** middleware com auth + headers, Server Actions, CSP per-request com nonce. **Postgres:** roles, connection limits, statement_timeout, pg_stat_statements, pgaudit. **Meta API:** App Secret Proof obrigatório, token storage encrypted, rotation, webhook signature verify, scopes mínimos, rate limit. **ClickUp OAuth** (no PAT em prod). **Google Workspace:** APP, Context-Aware Access, DLP, audit log, OAuth allowlist. **WhatsApp Cloud API:** verify token + signature, encryption, rate limits. **GitHub org-wide.** **Cloudflare Pages** _headers.

### [08-ia-llm-agents-security.md](08-ia-llm-agents-security.md)
**~1.500 linhas.** Por que IA tem ameaças únicas. **OWASP LLM Top 10 (2025)** — cada LLM01-10 com casos reais (Bing Sydney, Microsoft Copilot, xz-style HF pickle CVE-2024-3568, Schwartz vs Avianca legal hallucination), exemplo, mitigação em código (structured output, dual-LLM Simon Willison, guardrails Lakera/Llama Guard/NeMo). **MITRE ATLAS.** **RAG Security:** ingestion segura (sanitize PDFs, AV scan), per-tenant namespace, metadata filter, audit log. **Agent Security:** tool whitelisting + JIT, Zod validation obrigatória em tool input, output sanitization, loop limit, cost budget, **approval gates HITL** para ações sensíveis, sandbox e2b/Modal/WebContainer, network egress allowlist, memory isolation per-session, multi-agent trust boundaries. **Anthropic-specific:** Tool use security (Zod → JSON Schema), Computer Use (sandbox isolated, kill switch), prompt caching cross-tenant leak prevention, API key mgmt, audit logs, no-train Enterprise. **OpenAI-specific.** Architecture patterns (Dual-LLM, LLM-as-router, constrained generation, output verification). Casos 5LAW (geração jurídica com risco hallucination), BP Odontologia (nunca diagnóstico). LGPD para IA (Art. 20 decisão automatizada, treino com PII, anti-discrimination Art. 6º IX). Detection/Monitoring (LangSmith, Langfuse, Helicone, Phoenix).

### [09-orquestracao-multi-agente.md](09-orquestracao-multi-agente.md)
**~1.200 linhas.** Coração funcional. Filosofia, arquitetura (Coordinator + 22 sub-agents possíveis). **Workflow 4 fases** (Reconhecimento → Squads paralelos → Purple cross-validation → Consolidação). **Squads predefinidos com prompts-mestre PRONTOS:**
- 🔴 Red Team (5 agents): OSINT, Code Recon, Auth Exploit, Injection Hunt, Lateral Movement
- 🔵 Blue Team (5 agents): Detection Coverage, Hardening State, IR Readiness, Compliance Status, Logging
- 🟣 Purple Team validador
- 📋 Compliance Squad (3 agents)
- 👁 Code Review Squad (3 agents)
- 🏗 Infra Squad (3 agents)
- 🔍 OSINT Self-Recon
- 🤖 LLM Audit (2 agents)

Cada agent com prompt completo. Templates de relatório (executive summary, finding, compliance scorecard). Pseudocódigo de execução. Quando rodar cada cenário (audit anual full, pré-deploy, quarterly, pós-incident, code review PR, LLM new feature). Limitações honestas.

---

## Playbooks (em [playbooks/](playbooks/))

Runbooks operacionais para incidentes específicos:

- **[01-incident-response-mestre.md](playbooks/01-incident-response-mestre.md)** — runbook geral NIST 800-61
- **[02-data-breach-lgpd-72h.md](playbooks/02-data-breach-lgpd-72h.md)** — vazamento de dados, comunicação ANPD em 72h
- **[03-credential-leak.md](playbooks/03-credential-leak.md)** — secret/token vazado em código/log
- **[04-account-takeover.md](playbooks/04-account-takeover.md)** — conta comprometida (cliente, funcionário, exec)
- **[05-ransomware.md](playbooks/05-ransomware.md)** — ransomware/destructive malware
- **[06-ddos.md](playbooks/06-ddos.md)** — DDoS L3/L4/L7, HTTP/2 Rapid Reset, EDoS (LLM cost-burn)
- **[07-supply-chain-compromise.md](playbooks/07-supply-chain-compromise.md)** — npm hijack, GitHub Actions abuse, SaaS provider breach
- **[08-insider-threat.md](playbooks/08-insider-threat.md)** — exfil, sabotagem, fraude — disciplina jurídica + HR + forensics
- **[09-phishing-campaign.md](playbooks/09-phishing-campaign.md)** — spear, BEC, AiTM (Evilginx), MFA fatigue, OAuth consent

## Checklists (em [checklists/](checklists/))

- **[01-pre-deploy-prod.md](checklists/01-pre-deploy-prod.md)** — gate de release
- **[02-supabase-security-150-itens.md](checklists/02-supabase-security-150-itens.md)** — auditoria Supabase
- **[03-cloudflare-security.md](checklists/03-cloudflare-security.md)** — auditoria Cloudflare
- **[04-onboarding-offboarding.md](checklists/04-onboarding-offboarding.md)** — 30 itens cada
- **[05-osint-self-recon.md](checklists/05-osint-self-recon.md)** — vista do atacante externo
- **[06-secrets-rotation-quarterly.md](checklists/06-secrets-rotation-quarterly.md)** — rotação trimestral (Cloudflare/Supabase/Anthropic/Meta/Google/etc)
- **[07-dependency-update-process.md](checklists/07-dependency-update-process.md)** — Renovate + triagem semanal + caminho expresso para CVE
- **[08-quarterly-security-review.md](checklists/08-quarterly-security-review.md)** — revisão trimestral profunda (acessos + auth + infra + compliance + people)

## Templates (em [templates/](templates/))

- **[01-csp-strict-nonce.ts](templates/01-csp-strict-nonce.ts)** — CSP3 + headers helper Worker
- **[02-supabase-rls-patterns.sql](templates/02-supabase-rls-patterns.sql)** — patterns RLS prontos
- **[03-zod-validators.ts](templates/03-zod-validators.ts)** — validators comuns (CPF, CNPJ, telefone BR)
- **[04-audit-log-triggers.sql](templates/04-audit-log-triggers.sql)** — trigger audit log com hash chain
- **[05-wrangler-toml-secure.toml](templates/05-wrangler-toml-secure.toml)** — wrangler.toml hardened
- **[06-incident-report.md](templates/06-incident-report.md)** — postmortem blameless (NIST 800-61 + Google SRE)
- **[07-dpia-lgpd-template.md](templates/07-dpia-lgpd-template.md)** — RIPD/DPIA LGPD Art. 38 + ANPD Res. 18/2024
- **[08-threat-model-stride-template.md](templates/08-threat-model-stride-template.md)** — Shostack 4Q + STRIDE-per-element + LINDDUN + ATT&CK mapping
- **[09-github-actions-hardened.yml](templates/09-github-actions-hardened.yml)** — workflow CI/CD com SHA pin, OIDC, SBOM, harden-runner
- **[10-headers-helper-completo.ts](templates/10-headers-helper-completo.ts)** — security headers completos (CSP3 + Trusted Types + COOP/COEP/CORP + Permissions Policy + cookies + CORS)

---

## Princípios que esta skill aplica ao responder

1. **Negue por padrão.** RLS, IAM, network — tudo deny first.
2. **Mínimo privilégio + mínimo tempo.** Acesso é exceção, não regra.
3. **Assume breach.** Design pensando em quando comprometer, não se.
4. **Não confie em nada do cliente.** Validation server-side sempre.
5. **Não confie em nada da rede.** Zero Trust também internamente.
6. **MFA em tudo crítico, FIDO2 obrigatório para admin.**
7. **Logs detalhados, retenção razoável, alertas para anomalias.**
8. **Patches em < 7 dias para crítico, automatize.**
9. **Backup testado é o único backup.** Restore drill trimestral.
10. **Crypto: use libs maduras, não role próprio.** Argon2id, AES-GCM, Ed25519.
11. **Secrets em vault, nunca em código, rotação automática.**
12. **Detect > prevent.** Prevenção falha; detecção rápida limita dano.
13. **Threat model antes de codar feature crítica.**
14. **Postmortem blameless após qualquer incident.**
15. **Documente decisões de seg (ADRs).** Razão > apenas o que.

---

## Total da skill

**~22.000 linhas** de conteúdo técnico denso, **38 arquivos**:
- 9 arquivos temáticos principais (~12k linhas)
- 9 playbooks IR (incluindo DDoS, supply chain, insider threat, phishing)
- 8 checklists operacionais (pre-deploy, supabase, cloudflare, on/offboarding, OSINT, secrets rotation, deps update, quarterly review)
- 10 templates copy-pasteable (CSP, RLS, validators, audit log, wrangler, incident report, DPIA, STRIDE, GitHub Actions hardened, headers helper completo)
- 1 SKILL.md (este)

Fontes citadas (sem invenção): Saltzer & Schroeder (1975), NIST (CSF 2.0, SP 800-53r5, 800-61r2, 800-63B rev.4, 800-207, SSDF 800-218), MITRE (ATT&CK Enterprise v15+, ATLAS, CAPEC, D3FEND), OWASP (Top 10 Web 2021, API Top 10 2023, ASVS 4.0.3, LLM Top 10 2025, Cheat Sheet Series, Testing Guide, SAMM v2), ISO/IEC 27001:2022, AICPA SOC 2 TSC, PCI DSS v4.0, CIS Controls v8, LGPD (Lei 13.709/2018) + Resoluções ANPD, RFCs (5869, 6238, 6749, 6750, 7515-7519, 7636, 8446, 8705, 9068, 9106, 9126, 9449, 9457), SLSA, Sigstore, BeyondCorp papers (Google 2014-2018), Microsoft SDL, BSIMM, CISA Secure by Design (2023), Verizon DBIR (anual), Mandiant M-Trends, Anderson "Security Engineering" 3rd ed., Schneier, Adam Shostack "Threat Modeling", Reason "Human Error" (Swiss Cheese), Bianco (Pyramid of Pain), Caltagirone et al. (Diamond Model), Hutchins/Cloppert/Amin (Lockheed Kill Chain).

## Bibliotecas e ferramentas referenciadas

`@simplewebauthn/server` (WebAuthn), `jose` (JWT moderno), `argon2` (password), `zod` (validation), `DOMPurify`, `Hono`, `pino` (logs), Cloudflare Workers/Wrangler, Supabase, Semgrep, CodeQL, Snyk, Socket.dev, Trivy, Syft, Grype, cosign/Sigstore, Dependabot, Renovate, gitleaks, OPA, Cedar, OpenFGA, Casbin, Wazuh, Microsoft Sentinel, Sigma, Atomic Red Team, Velociraptor, Lakera Guard, Llama Guard, NeMo Guardrails, e2b, Modal, WebContainer.