Política de Segurança — Ricardo Carvalho CISO

Este site foi construído com os mesmos princípios que aplico em projetos de segurança enterprise: defense in depth, mínimo privilégio, e transparência técnica.

Controles implementados

🔒

HTTPS obrigatório

Todo tráfego é criptografado via TLS 1.2+. HTTP é redirecionado automaticamente para HTTPS.

🛡️

Security Headers

X-Frame-Options: DENY
X-Content-Type-Options: nosniff
Content-Security-Policy
Referrer-Policy: strict-origin

🗄️

SQL Injection Prevention

Todas as queries ao banco de dados utilizam prepared statements com PDO. Nenhuma concatenação de input de usuário em SQL.

🔑

Proteção de dados pessoais

IPs são armazenados apenas como hash SHA-256 com salt — matematicamente irreversível, sem possibilidade de reidentificação.

🚦

Rate Limiting

Formulário de contato limitado a 1 envio por IP a cada 2 minutos. Proteção contra automação e abuso.

🍯

Anti-spam Honeypot

Campo oculto no formulário detecta bots automaticamente, sem CAPTCHA visual que prejudica a experiência.

📂

Proteção de diretórios

Diretórios sensíveis (/includes/, /cache/, /backups/) bloqueados via .htaccess com Require all denied.

🧹

Input sanitization

Todo input de usuário é sanitizado com htmlspecialchars() e validado com filter_input() antes de qualquer processamento.

O que este site não faz

Não instala malware, adware ou scripts de mineração
Não acessa câmera, microfone ou localização
Não injeta anúncios ou trackers de terceiros
Não armazena senhas ou dados de pagamento
Não realiza fingerprinting do navegador

Divulgação responsável (Responsible Disclosure)

Se você identificou uma vulnerabilidade de segurança neste site, agradeço o reporte responsável. Por favor, não explore a vulnerabilidade — apenas reporte.

🔍 Reportar vulnerabilidade

Envie um e-mail descrevendo: a vulnerabilidade, os passos para reproduzir, o impacto potencial, e (se possível) sugestão de correção. Responderei em até 72 horas.

📧 ricardo.defesa.cyber@gmail.com
Assunto: [Security Disclosure] Nome da vulnerabilidade

Reports responsáveis são sempre reconhecidos e agradecidos.