2

Tenho um projeto no qual haverá uma web API para se "comunicar" com aplicativos moveis. Este, só é para consulta. Além deste, haverá a administração no qual se resume na inclusão dos dados.

A dúvida seria na parte da administração, é mais seguro utilizar uma aplicação web com acesso "direto" com o BD ou, utilizar os recursos da web API? Levando em conta a segurança necessária aplicada em ambos os casos.

3
  • Nenhum dos dois, Sua aplicação web pode acessar uma api e ainda assim não ser segura da mesma forma ** "direto" com o BD **, você precisar entender o conceito de web e api, e segurança que é algo bem diferente. você precisa implementar a segurança nos dois casos. 12/06/2018 às 13:21
  • Agradeço a atenção, em questão de segurança, sou o básico do básico. Mas refazendo a pergunta, neste ambiente que citei, o que você recomendaria ? Utilizar a API para todas as operações (CRUD) ou compartilhar estas operações (consulta) com um aplicação web (CRUD) com acesso direto ao BD ?
    – Renato
    12/06/2018 às 14:13
  • Recomendaria o uso do DDD, em qualquer que seja a aplicação. 12/06/2018 às 14:49

1 Resposta 1

5

Aquele que for bem feito e por alguém que entenda de segurança. Ou seja, qualquer um dos dois, se for bem feito.

Se qualquer uma delas tivesse menos segurança nem deveria usar. Se encontrar algum problema de segurança deveria ser um bug a ser corrigido.

Se não entender o que está fazendo e todas as implicações de tudo o que faz então ambos são inseguros, não porque eles foram construídos assim, mas porque quem fez não tem condições de fazer ser seguro.

A insegurança é explorada por pessoas quem entendem muito do que fazem contra o que foi feito por pessoas que entendem pouco ou nada.

E para aprender o que faz não é aprender receitas de bolo, é aprender todos os fundamentos com profundidade, só assim entenderá tudo o que pode ocorrer e mitigá-los. Ou seja, para fazer seguro tem que conhecer tanto quandt quem explora as falhas de segurança.

Se tem uma área que não dá para fingir que sabe, que não dá para seguir receitas é a segurança, até porque as maiores inseguranças ainda não possuem receitas.

Claro, a maioria dos sistemas, principalmente web, são extremamente vulneráveis porque são feitos porque sequer tem noção do básico e cometem erros bem básicos já solucionados há décadas.

Quando os sistemas não eram web eram mais seguros pelo simples fato que poucas pessoas podiam acessar. Agora todo mundo pode, não pode confiar em nada externo, tem que se proteger de tudo o que se conhece e o que não conhece. E hoje se tem a ideia de que qualquer pessoa pode programar, quando na verdade ficou muito mais difícil. Por isso hoje a esmagadora maioria das aplicações são inseguras e vulneráveis e a vasta maioria dos servidores estão ou estarão operando à serviço de crackers, alguns por anos ou décadas sem a pessoa saber.

Se levar em conta que o programador fez tudo direito, ambas são seguras iguais.

Mesmo que uma fosse mais segura, de que adianta usá-la se o que precisa usar é a outra?

Eu não recomendaria o uso de DDD em nenhuma aplicação. A não ser, é claro, se ela for muito adequada para aquela aplicação, você dominar totalmente o assunto, e tenha uma boa implementação dela (e vou dar uma dica, nem o criador do termo fez uma boa, o que gera atrocidades). Não sei o que isso faz aqui, mas achei melhor não passar em branco sobre esse mito, e que de alguma forma isso ajudaria a segurança, pelo contrário, pelo que vejo por aí as pessoas aplicando DDD errado, criando mecanismos próprios duvidosos para substituir o que já existe que é considerado como seguro, a segurança só tende a piorar, ainda mais porque as pessoas não enxergam que está ocorrendo. Na verdade qualquer coisa que seja aplicada em tudo já está errado por definição. Até os maiores defensores de DDD não o usam em tudo.

Um exemplo de como as pessoas não entendem de segurança é que votaram para fechar a pergunta como baseado em opiniões. Segurança existe ou não existe. É mensurável e mesmo sem medir é de conhecimento público sobre a condição das tecnologias, e os inerentemente inseguros são considerados obsoletos e só usa quem não lê documentação (o que poucos fazem, e não nem pra começar conversar sobre segurança com quem faz isto, uns 80, 90%). Ok, eu entendo que alguém pode ter votado por algum tipo de bias ou desatenção, mas é importante saber disso também.

Resumo

Ambos são seguros, segurança é dada pela qualidade do programador, use o que atende sua necessidade, e se proponha ser um profissional completo ou passe para quem pode ajudar na questão e não compre mitos. Aceite que não entende de segurança, é o que eu faço, e pesquise para pelo menos não cometer os erros básicos que a maioria faz e nem percebe.

Os que entendem isso e agem de acordo fazem sistemas mais seguros, os que acham que fazem sistemas seguros sem observar isso estão se iludindo, e muita gente experiente faz assim.

Espero que aproveite bem as dicas.

1
  • Novamente, agradeço a explicação. Optei por dividir as operações entre a aplicação web e a web api para não ficar "todos os ovos na mesma cesta".
    – Renato
    12/06/2018 às 17:57

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .