tutorial · pipeline de segurança aplicada
Três portões, três bloqueios reais, um app propositalmente vulnerável.
Este laboratório monta um pipeline de code review seguro — segredo, código e comportamento em runtime, cada um coberto por uma ferramenta diferente — e o roda de ponta a ponta contra o OWASP Juice Shop, uma aplicação propositalmente vulnerável. Cada gate abaixo bloqueou algo de verdade, e o capítulo 03 mostra a evidência real de cada bloqueio.
Escrito a partir de uma implementação real, feita ao vivo, incluindo os erros de configuração que apareceram no meio do caminho — um YAML mal indentado, uma chave de exemplo que o próprio Gitleaks ignora de propósito, um terminal que mascarava texto sem avisar. Eles viram uma seção própria (capítulo 04), porque são exatamente o tipo de coisa que qualquer pessoa montando esse pipeline também vai encontrar.
O que você vai ver
Um pipeline pequeno, mas completo, onde cada gate cobre uma camada diferente do problema: o Gitleaks impede que um segredo vaze pro histórico do Git; o SonarCloud analisa o código novo de cada PR e bloqueia se a qualidade/segurança cair abaixo de um limiar; o OWASP ZAP ataca a aplicação já rodando, de fora pra dentro, como um atacante real faria. Os três já bloquearam algo de verdade nesta implementação — nada aqui é simulado.
- Alvo vulnerável
- OWASP Juice Shop
- CI/CD
- GitHub Actions
- Secret scanning
- Gitleaks
- SAST / Quality Gate
- SonarCloud
- DAST
- OWASP ZAP baseline scan
- Hospedagem
- nenhuma 24/7 — tudo sob demanda via Actions
Pra quem é este guia
Pra quem já tem alguma familiaridade com Git, GitHub Actions e linha de comando, e quer ver — não só ler sobre — um pipeline de AppSec funcionando contra um alvo real. O código completo, os workflows e as evidências estão públicos em github.com/RootKaito/secure-pipeline-poc.
Capítulos
Arquitetura & Threat Model
Por que três gates, o que cada um resolve — e o que nenhum deles resolve sozinho.
02Preparando o Ambiente
Fork do alvo, GitHub Actions, conta no SonarCloud, config do Gitleaks e do ZAP.
03Gates em Ação
O coração do laboratório: os três bloqueios reais, com evidência.
04Troubleshooting
Os erros reais encontrados nesta implementação, e como cada um foi resolvido.
05Lições Aprendidas
O que fica depois do projeto, e pra onde evoluir a partir daqui.