# Volucer > Desenvolvimento, IA e segurança na prática: fundamentos, dev com IA, OWASP, pentest e como construir software mais seguro. - Site: https://blog.volucer.com.br/ - Feed: https://blog.volucer.com.br/feed.xml - Sitemap: https://blog.volucer.com.br/sitemap.xml ## Artigos - [Segurança em CI/CD: o pipeline é uma superfície de ataque, não um detalhe de infra](https://blog.volucer.com.br/seguranca-em-ci-cd-pipelines): O pipeline tem credencial de produção, roda código de terceiros e faz deploy. Veja como fechar segredo, execução de PR hostil e supply chain do build. - [Princípio do menor privilégio na prática: cada coisa com o mínimo que precisa](https://blog.volucer.com.br/principio-do-menor-privilegio): A defesa mais barata e eficaz da segurança: dar a cada usuário, serviço e token só o poder estritamente necessário — e por que quase todo sistema erra nisso. - [Segurança de containers: Docker sem furos do build ao runtime](https://blog.volucer.com.br/seguranca-de-containers-docker): Container não é uma VM. Veja como fechar os furos de imagem, privilégio, segredo e supply chain que transformam um Docker mal configurado em root no host. - [Logging seguro e detecção de intrusão: enxergar o ataque enquanto ele acontece](https://blog.volucer.com.br/logging-seguro-e-deteccao-de-intrusao): O que registrar, o que nunca registrar e como transformar logs em detecção real de intrusão — sem forjar evidência nem afogar o time em alertas. - [Gestão de vulnerabilidades e CVEs: do alerta ao patch sem pânico](https://blog.volucer.com.br/gestao-de-vulnerabilidades-e-cves): CVE, CVSS, EPSS e KEV para priorizar de verdade, SCA e SBOM, supply chain e um ciclo de patch que não vira incêndio a cada boletim de segurança. - [TLS e HTTPS explicados para desenvolvedores: o handshake sem mistério](https://blog.volucer.com.br/tls-https-explicado-para-desenvolvedores): O que o TLS realmente garante, o handshake 1.3 passo a passo, cadeia de certificados, forward secrecy e os erros de configuração que derrubam produção. - [Criptografia na prática para desenvolvedores: dados em repouso e em trânsito sem mágica](https://blog.volucer.com.br/criptografia-na-pratica-repouso-transito): Simétrica vs assimétrica, AEAD, envelope encryption e KMS: um guia prático de criptografia em repouso e em trânsito para quem escreve o código. - [Programar com IA sem introduzir vulnerabilidades: o guia de código seguro assistido por LLM](https://blog.volucer.com.br/codigo-com-ia-sem-vulnerabilidades): Assistentes de código aceleram o trabalho, mas herdam padrões inseguros do treino. Como revisar, contextualizar e testar o que a IA escreve para não gerar dívida de segurança. - [CSRF e sessões seguras: a falha que faz o navegador da vítima agir contra ela](https://blog.volucer.com.br/csrf-e-sessoes-seguras): Como o Cross-Site Request Forgery abusa da sessão automática do navegador e como cookies SameSite, tokens anti-CSRF e sessões bem desenhadas fecham o vetor. - [Desenvolvimento seguro na prática: SDLC seguro e threat modeling com STRIDE](https://blog.volucer.com.br/desenvolvimento-seguro-sdlc-threat-modeling): Como transformar segurança em parte do ciclo de desenvolvimento com shift left, threat modeling e STRIDE, em vez de um evento no fim do projeto. - [Prompt injection: a falha número um em aplicações com IA e LLM e como se defender](https://blog.volucer.com.br/prompt-injection-seguranca-apps-com-ia-llm): Prompt injection é o topo do OWASP LLM Top 10. Entenda por que a falha existe e monte defesa em camadas em apps e agentes com IA. - [O que é um pentest: por que testar sua aplicação como um atacante faria](https://blog.volucer.com.br/o-que-e-pentest-e-por-que-fazer): Pentest é uma avaliação autorizada que simula um atacante para achar e provar vulnerabilidades exploráveis. Entenda o processo, as fases e por que fazer. - [Segurança de APIs: autorização, rate limiting e como fechar IDOR e BOLA](https://blog.volucer.com.br/seguranca-de-apis-authz-rate-limit-idor): Como blindar sua API REST/JSON contra as falhas do OWASP API Top 10: BOLA/IDOR, BFLA, mass assignment, rate limiting e vazamento de dados. - [Autenticação segura: hashing de senha, salt e MFA explicados para desenvolvedores](https://blog.volucer.com.br/autenticacao-segura-hashing-senhas-mfa): Como guardar credenciais e autenticar de forma correta: por que hash lento, salt, pepper, MFA e CSPRNG decidem o estrago de um vazamento. - [XSS na prática: os três tipos de Cross-Site Scripting e como se defender](https://blog.volucer.com.br/xss-tipos-exploracao-e-defesa): Stored, refletido e DOM-based: como o Cross-Site Scripting executa código no navegador da vítima e por que a defesa correta é o encoding de saída. - [Injeção de SQL: como o ataque funciona e como blindar sua aplicação](https://blog.volucer.com.br/injecao-sql-como-funciona-e-prevencao): Como a injeção de SQL nasce da concatenação de entrada não confiável, os payloads que exploram a falha e a defesa que encerra a classe: queries parametrizadas. - [OWASP Top 10 explicado para desenvolvedores: as 10 falhas que mais derrubam aplicações](https://blog.volucer.com.br/owasp-top-10-explicado-para-devs): Um guia da taxonomia OWASP Top 10 para quem escreve código: a causa real de cada classe de risco e a defesa que fecha o buraco na prática. - [IA generativa vs IA preditiva: qual é a diferença?](https://blog.volucer.com.br/ia-generativa-vs-ia-preditiva-qual-e-a-diferenca): Entenda a diferença real entre IA generativa e IA preditiva, como cada uma funciona por dentro e quando faz sentido usar uma ou outra. - [Core Web Vitals: o que são e como melhorar cada métrica](https://blog.volucer.com.br/core-web-vitals-o-que-sao-e-como-melhorar-cada-metrica): Guia prático sobre Core Web Vitals: o que cada métrica realmente mede e ações concretas para melhorar LCP, INP e CLS no seu site em 2026. - [Como funciona um scanner de vulnerabilidades](https://blog.volucer.com.br/como-funciona-um-scanner-de-vulnerabilidades): Entenda o funcionamento interno de um scanner de vulnerabilidades, suas limitações e como ele se encaixa em um pentest real. - [TCP/IP explicado de forma simples](https://blog.volucer.com.br/tcp-ip-explicado-de-forma-simples): Entenda o modelo TCP/IP em linguagem simples: como os dados viajam pela internet, camada por camada, do seu dispositivo ao servidor. - [Phishing: como reconhecer e se proteger de golpes digitais](https://blog.volucer.com.br/phishing-como-reconhecer-e-se-proteger-de-golpes-digitais): Guia prático para identificar tentativas de phishing, entender as táticas mais usadas e reduzir o risco de cair em um golpe. - [Glossário de segurança da informação: 20 termos que todo profissional deveria saber](https://blog.volucer.com.br/glossario-de-seguranca-da-informacao-20-termos-que-todo-profissional-deveria-sab): Glossário direto com 20 termos essenciais de segurança da informação, explicados de forma clara para quem está começando na área. - [Como usar IA generativa para programar sem perder o controle do código](https://blog.volucer.com.br/como-usar-ia-generativa-para-programar-sem-perder-o-controle-do-codigo): Estratégias práticas para usar assistentes de IA generativa no dia a dia de programação sem sacrificar qualidade e segurança. - [REST vs GraphQL: qual escolher para sua API](https://blog.volucer.com.br/rest-vs-graphql-qual-escolher-para-sua-api): Comparação prática entre REST e GraphQL: pontos fortes, limitações e critérios para escolher a abordagem certa em cada projeto.