Aprender

Conceitos de redes e segurança, explicados com clareza.

Explicações práticas dos conceitos por trás das ferramentas. Cada artigo é escrito para construir entendimento genuíno, não apenas para definir um termo.

O índice de artigos ↓

A biblioteca independente de fabricante, agrupada por assunto. O conteúdo específico de cada fabricante fica nos hubs.

293 artigos

Hubs de fabricantes →

Uma porta por fabricante: as ferramentas, os artigos e as certificações de cada plataforma.

8 fabricantes

A Prática →

Como o trabalho é de fato feito, e não como a tecnologia funciona. Triagem, escalonamento, evidências, passagem de bastão, e as partes que nenhum runbook cobre.

64 publicados

Os Papéis →

As posições de que esta indústria é feita, agrupadas pelo caminho que um produto percorre. Quem o faz, move, vende, implanta, opera, sustenta, defende e ensina.

39 posições

Guias de estudo de certificação →

Blueprints de prova mapeados objetivo por objetivo aos artigos que os ensinam.

105 guias de prova

Glossário →

Os termos, siglas, expressões, gírias e o folclore da área - definidos, com fontes, e ligados às ferramentas que os calculam.

1242 termos

Guias de estudo →

Trilhas de leitura curadas e guias de certificação mapeados por blueprint - cada objetivo ligado aos artigos que o ensinam e às ferramentas que o exercitam.

13 trilhas de leitura105 guias de prova1632 objetivos mapeados

Ir para

Visualização

Certificados e PKI (14)

Artigo	Tema	Resumo
Anatomia de um Certificado X.509	Certificados e PKI	O que vive dentro de um certificado TLS, como os bytes ASN.1/DER são estruturados, o que as extensões v3 de fato controlam, e por que decodificar um certificado não é o mesmo que confiar nele.
PEM, DER e os formatos de arquivo de certificado	Certificados e PKI	Por que o mesmo certificado vem em tantas formas de arquivo, o que PEM e DER de fato são, e o que .crt, .pem, .pfx e .p12 realmente contêm.
Requisições de assinatura de certificado e como certificados são emitidos	Certificados e PKI	O que uma CSR contém, por que sua chave privada nunca deixa sua máquina, como uma CA valida e emite, e como o ACME automatiza toda a troca.
Como a validação de certificados de fato funciona	Certificados e PKI	Os passos que um cliente executa para decidir que um certificado é confiável: construir a cadeia, checar assinaturas e datas, casar o nome e impor restrições.
Revogação de certificados: CRL, OCSP e certificados de vida curta	Certificados e PKI	Por que um certificado às vezes precisa ser cancelado antes de expirar, por que os sistemas clássicos de revogação funcionam mal, e por que a indústria está encolhendo os tempos de vida dos certificados em vez disso.
Authority Information Access: As URLs de OCSP e CA Issuers	Certificados e PKI	A extensão AIA carrega dois tipos de ponteiro: onde perguntar se um certificado foi revogado (OCSP) e onde buscar o certificado do próprio emissor (CA Issuers). Para que serve cada um, por que são fáceis de confundir e o que o inspetor mostra.
OCSP Must-Staple: Fechando a Brecha do Soft-Fail	Certificados e PKI	A checagem OCSP em tempo real tem uma fraqueza fatal: quando o respondedor está inacessível, os clientes geralmente prosseguem mesmo assim. O OCSP stapling e o sinalizador Must-Staple são a correção. O que a extensão TLS Feature declara, e o risco operacional que ela carrega.
A era dos 47 dias: como os tempos de vida dos certificados TLS estão encolhendo	Certificados e PKI	O cronograma SC-081v3 do CA/Browser Forum reduz a validade máxima de certificados TLS públicos de 398 para 47 dias até 2029, em três etapas. Quais são as fases, por que 47, e o que isso faz com o volume de renovações.
ACME: como os certificados se emitem e se renovam sozinhos	Certificados e PKI	Como o protocolo ACME automatiza a emissão de certificados de ponta a ponta: a conta, o pedido, os três tipos de desafio, o registro dns-01 que você publica e a etapa de finalizar e baixar que produz o certificado.
Janelas de validade: notBefore, notAfter e a antecedência da renovação	Certificados e PKI	Como o tempo de vida de um certificado é definido por dois carimbos de tempo, como esse tamanho é medido contra o limite, por que validade não é o mesmo que tempo restante, e como escolher uma antecedência para a renovação.
Let's Encrypt: a CA gratuita e seus limites de emissão	Certificados e PKI	O que é a Let's Encrypt, por que seus certificados são de vida curta e como seus limites de emissão realmente funcionam: os limites por domínio registrado e por conta, os limites por conjunto exato e por falha de autorização, e por que as renovações por ARI são isentas de todos eles.
Reutilização de DCV e SII: a cadência de validação por trás da renovação	Certificados e PKI	Emitir um certificado significa provar o controle do domínio e, para OV/EV, a identidade da organização. A SC-081v3 encurta por quanto tempo essas provas podem ser reutilizadas, o DCV para 10 dias até 2029, o que remodela a renovação tanto quanto a validade.
Renovar antes da expiração: antecedência, ACME e ARI	Certificados e PKI	Por que a renovação tardia causa quedas, como o ACME automatiza a emissão e a renovação, como a extensão ARI permite que uma AC guie a janela de renovação, e como escolher uma antecedência que deixe espaço para tentar de novo.
PKI pública e privada: quais certificados a SC-081v3 governa	Certificados e PKI	O cronograma dos 47 dias vincula apenas certificados TLS publicamente confiáveis. O que separa a PKI pública da privada, por que as ACs internas estão isentas, e como ler o veredito de conformidade do planejador para um certificado interno.

Codificação e dados (42)

Artigo	Tema	Resumo
A Anatomia de uma URL	Codificação e dadosWeb e HTTP	Toda URL é construída a partir do mesmo punhado de partes definidas pela RFC 3986: esquema, autoridade (userinfo, host, porta), caminho, query e fragmento. O que cada parte significa, como um parser as distingue e onde os limites realmente caem.
A Gramática JSON: Seis Tipos e Algumas Regras Estritas	Codificação e dados	JSON é menor do que parece. O formato inteiro são seis tipos de valor e um punhado de caracteres estruturais, governados por regras mais estritas do que a maioria lembra: sem comentários, sem vírgulas finais e chaves que precisam ser strings entre aspas.
Bytes, pontos de código e UTF-8	Codificação e dados	A diferença entre um caractere e um byte, por que existem o Unicode e o UTF-8, e o que isso tem a ver com o Base64.
JSON vs YAML: O Que Converte Limpo e o Que Não Converte	Codificação e dados	O YAML foi projetado para que todo documento JSON também seja YAML válido, e é por isso que a conversão entre eles geralmente simplesmente funciona. A parte interessante são as bordas: comentários, âncoras, múltiplos documentos e tipos exclusivos do YAML que não têm equivalente em JSON.
O Que o Tempo Unix Realmente É	Codificação e dados	O tempo Unix é um único inteiro: o número de segundos desde 1970-01-01T00:00:00Z, a época (epoch). É independente de fuso horário, compacto e ordenável, e por isso sustenta quase todo relógio de sistema, linha de log e timestamp de API. Convertê-lo em uma data de calendário é pura aritmética.
Base64 e Base64URL, explicados	Codificação e dados	Como dados binários viram texto seguro para transmitir, por que existe o preenchimento e o que muda na variante segura para URL.
Coerção de Tipos no YAML e o Problema da Noruega	Codificação e dados	O YAML adivinha o tipo de todo escalar sem aspas, e seus palpites são surpreendentes: o código de país NO vira false, uma versão como 1.0 vira número, e um código com zeros à esquerda perde os zeros. Conhecer a regra é a chave para uma conversão segura.
Números JSON e a Armadilha da Precisão	Codificação e dados	O JSON não impõe limite ao tamanho ou à precisão de um número, mas a maioria dos parsers converte silenciosamente todo número para um float de 64 bits. Essa incompatibilidade corrompe silenciosamente inteiros grandes e decimais exatos, e por isso um formatador deveria preservar os dígitos originais.
Query Strings: Parâmetros, Sinais de Mais e Chaves Repetidas	Codificação e dadosWeb e HTTP	A parte de uma URL após o ponto de interrogação parece simples mas esconde ambiguidade real: como os parâmetros são separados, por que um sinal de mais às vezes significa espaço, como chaves repetidas se comportam e por que não há um único padrão governante.
Segundos, Milissegundos, Microssegundos, Nanossegundos: Distinguindo Unidades de Época	Codificação e dados	O mesmo instante pode ser escrito como 1700000000, 1700000000000 ou maior, dependendo de o timestamp contar segundos, milissegundos, microssegundos ou nanossegundos. Confundi-los é um bug clássico. Quase sempre dá para saber qual é qual pela magnitude do número.
Base64URL e o alfabeto seguro para URLs	Codificação e dados	Por que JWTs e PKCE usam um alfabeto Base64 diferente, os dois caracteres que mudam e o que acontece com o preenchimento.
Chaves Duplicadas em JSON: Legais, Perigosas e Dignas de Detecção	Codificação e dados	A sintaxe JSON permite que a mesma chave apareça mais de uma vez em um objeto, mas a especificação não diz o que isso significa. Parsers diferentes resolvem isso de formas diferentes, o que torna chaves duplicadas uma fonte silenciosa de bugs e até de problemas de segurança.
Codificação de URL e Hosts Internacionalizados	Codificação e dadosWeb e HTTP	URLs são restritas a um pequeno conjunto de caracteres ASCII, então todo o resto é codificado. A codificação percent cuida de caminhos e queries; o punycode cuida de nomes de host não-ASCII. Como ambos funcionam, e por que hosts internacionalizados são uma preocupação de phishing.
JSON e YAML na Prática: APIs, Declarações e Orquestração	Codificação e dados	A divisão não é aleatória: APIs e declarações máquina-a-máquina tendem a ser JSON, enquanto arquivos de orquestração e pipeline escritos por humanos tendem a ser YAML. Entender por que cada domínio escolheu o que escolheu explica quando converter entre eles é útil.
O Problema do Ano 2038	Codificação e dados	Um inteiro de 32 bits com sinal só consegue contar segundos até 2147483647, que cai em 2038-01-19T03:14:07Z. Um segundo depois ele transborda e dá a volta para um número negativo, jogando os sistemas afetados de volta a 1901. É o sucessor mais silencioso do Y2K, e a correção é um inteiro mais largo.
Âncoras, aliases e merge keys em YAML	Codificação e dados	O YAML pode definir um valor uma vez e reutilizá-lo com uma âncora e um alias, e mesclar um mapping em outro com uma merge key. Nada disso existe em JSON, então a conversão expande e duplica tudo. Este artigo cobre a sintaxe, o que acontece na conversão, e a armadilha de negação de serviço que eles habilitam.
Escapes de string e Unicode em JSON	Codificação e dados	Dentro de uma string JSON, alguns caracteres precisam ser escritos como escapes, e qualquer caractere pode ser escrito como \uXXXX. As regras são poucas mas estritas, e a que pega as pessoas é como caracteres além do plano básico, como emoji, precisam de um par substituto (surrogate pair).
ISO 8601, RFC 3339 e a Data HTTP	Codificação e dados	Depois que um timestamp Unix é convertido de volta em uma data humana, ele é escrito em um de poucos formatos de texto padrão. O ISO 8601 é o padrão amplo, o RFC 3339 é seu perfil estrito para a internet, e a data HTTP é a exceção. Saber a diferença evita muita dor de cabeça com parsing.
Onde o Base64 aparece: data URIs, MIME, PEM e Basic auth	Codificação e dados	Os lugares reais em que binário é embrulhado em texto, o custo de tamanho de fazer isso e por que Base64 em um cabeçalho de autenticação não é criptografia.
Base32, explicado	Codificação e dadosIdentidade e tokens	Por que o Base32 troca tamanho por um alfabeto sem ambiguidades e insensível a maiúsculas, como funciona seu agrupamento de 5 bits, e onde ele aparece (segredos TOTP, endereços onion, DNS).
Block scalars e strings multilinha em YAML	Codificação e dados	O YAML tem duas formas de escrever uma string multilinha, e elas tratam quebras de linha de modo diferente: o estilo literal as mantém, o estilo folded as transforma em espaços. Indicadores de chomping então decidem o que acontece com a quebra de linha final. Errar isso é por que um script ou certificado embutido sai sutilmente corrompido.
Por Que o Tempo Unix Ignora os Segundos Bissextos	Codificação e dados	O UTC ocasionalmente insere um segundo bissexto para se manter alinhado com a rotação da Terra, mas o tempo Unix finge que todo dia tem exatamente 86.400 segundos. Essa simplificação deliberada significa que um timestamp Unix não é uma contagem verdadeira de segundos decorridos desde a época — e é a escolha certa para o tempo civil.
Vírgulas finais, comentários e a família JSON5	Codificação e dados	O JSON estrito não tem comentários nem vírgulas finais, o que surpreende quem usa um editor que aceita ambos. A razão é que o JSON é um formato mínimo de interchange, e as variantes tolerantes (JSONC, JSON5) são coisas separadas. Saber qual é qual evita arquivos de config que quebram em outra ferramenta.
Codificação hexadecimal (Base16), explicada	Codificação e dados	Como o hexadecimal representa cada byte com dois caracteres, por que é a forma padrão de imprimir bytes brutos, e como ele se compara ao Base64 e ao Base32.
Formatação, minificação e JSON canônico	Codificação e dados	O espaço em branco não muda o que o JSON significa, então JSON identado e minificado são o mesmo dado. Mas quando o JSON é assinado ou hasheado, os bytes exatos importam, e é aí que entra o JSON canônico: uma forma determinística de serializar o mesmo dado exatamente na mesma string toda vez.
Números romanos: como o sistema realmente funciona	Codificação e dados	Sete símbolos, nenhum zero e uma regra de subtração que chegou mil anos depois de Roma. Por que IIII está no seu relógio e IV está no livro didático, o que IL viola e por que o sistema clássico termina em 3999.
URLs relativas e como elas resolvem	Codificação e dadosWeb e HTTP	Uma URL relativa deixa de fora o esquema e o host e é completada contra uma URL base. As regras de como um navegador preenche o resto, e como ./ e ../ e uma barra inicial mudam o resultado, explicam muitos links quebrados e algumas surpresas de segurança.
Aritmética de tempo e fusos horários: durações exatas, reuniões honestas	Codificação e dados	Por que 'mais um mês' não tem resposta exata, o que as durações ISO 8601 realmente prometem e como um instante UTC vira quatro relógios de parede diferentes. A armadilha do horário de verão, a armadilha da mudança de data e o argumento para planejar reuniões com uma data real.
Codificação por porcentagem (codificação de URL), explicada	Codificação e dados	Por que as URLs escapam certos caracteres como %XX, quais caracteres é seguro deixar como estão, e em que a codificação por porcentagem difere do Base64.
URLs enganosas: lendo além dos truques	Codificação e dadosWeb e HTTP	URLs são uma ferramenta favorita para phishing porque o destino real é fácil de disfarçar. O truque do userinfo, os parâmetros de redirecionamento e os caracteres parecidos, todos fazem um link hostil parecer amigável. Este artigo mostra os disfarces comuns e o único hábito confiável para encontrar o host real.
Base16, Base32, Base64 e codificação por porcentagem comparadas	Codificação e dados	Um olhar lado a lado para as quatro codificações de texto: seus alfabetos, sobrecarga de tamanho, legibilidade, e quando recorrer a cada uma.
Como funciona o diff de texto	Codificação e dadosTexto e utilitários	Um diff encontra o menor conjunto de inserções e remoções que transforma um texto em outro. Por baixo está a maior subsequência comum: as linhas que as duas versões compartilham, na mesma ordem, formam a espinha dorsal inalterada, e todo o resto é uma adição ou uma remoção.
Como ler um diff	Codificação e dadosTexto e utilitários	Como ler um diff linha a linha: linhas inalteradas, adicionadas e removidas, os marcadores de mais e menos, os números de linha dos dois lados, o destaque palavra a palavra e o que ignorar espaços e ignorar maiúsculas realmente mudam. Mais o que um diff não consegue dizer.
Diffs em nível de palavra e de caractere	Codificação e dadosTexto e utilitários	Um diff de linha marca a linha inteira como alterada mesmo quando um único caractere mudou. Diffs em nível de palavra e de caractere destacam exatamente a parte da linha que mudou, o que é muito mais fácil de ler para prosa, linhas longas e edições pequenas. Este artigo cobre a diferença e quando cada lente é a certa.
Diffs de três vias e conflitos de merge	Codificação e dadosTexto e utilitários	Um diff normal compara duas versões e não consegue dizer qual delas mudou. Um diff de três vias adiciona um ancestral comum, que é o que torna o merge automático possível e o que produz os marcadores de conflito <<<<<<< ======= >>>>>>>. Este artigo explica o terceiro insumo e como ler e resolver um conflito.
Edições mínimas: por que um diff pode parecer errado	Codificação e dadosTexto e utilitários	Um diff mostra o menor conjunto de inserções e remoções que transforma um texto no outro. Como o menor conjunto não é único e o algoritmo precisa escolher, um diff pode alinhar linhas de formas contraintuitivas, culpando o bloco errado ou dividindo uma seção movida. Saber disso torna diffs estranhos legíveis.
Lendo a estrutura do XML	Codificação e dadosSegurança e WAF	XML é uma árvore de elementos construída a partir de um punhado de partes: uma declaração opcional, elementos com atributos, texto e algumas construções especiais. Uma vez que você consegue nomear cada parte e ver como elas se aninham, ler um documento desconhecido de cima a baixo vira rotina em vez de um jogo de adivinhação.
Namespaces XML explicados	Codificação e dadosSegurança e WAF	Quando dois vocabulários XML usam o mesmo nome de elemento para coisas diferentes, namespaces os mantêm separados vinculando um prefixo a uma URI única. O prefixo é apenas um atalho local; a URI é a identidade real. Entender essa divisão resolve a maior parte da confusão com namespaces.
XML bem formado vs válido	Codificação e dadosSegurança e WAF	Boa formação é a linha de base do XML: uma raiz, tags aninhadas e correspondidas corretamente, atributos entre aspas e especiais escapados. Validade é uma afirmação mais forte e separada de que um documento também segue um schema. Um parser rejeita XML mal formado de imediato, que é por que estas regras vêm primeiro.
CDATA, comentários e instruções de processamento	Codificação e dadosSegurança e WAF	Nem tudo em XML é um elemento. Seções CDATA guardam texto cru que de outra forma precisaria de escape, comentários anotam sem afetar o conteúdo, e instruções de processamento carregam direções para uma aplicação. Reconhecer estas três impede que pareçam ruído misterioso.
Formulários HTML e Codificação de Requisições: Como a Web Despacha Sua Entrada	Codificação e dadosWeb e HTTP	Um formulário é um contrato entre página e servidor: quais campos, qual verbo, qual formato de fio. GET põe as respostas na URL; POST põe no corpo; e o enctype escolhe o dialeto do corpo - as correntes chave=valor do urlencoded, as partes delimitadas por boundary do multipart, feitas para arquivos. O que cada escolha significa para logs, caches, limites de tamanho e depuração, mais a nota da era fetch: o FormData manteve os formatos vivos depois que formulários deixaram de ser o único remetente.
URI, URL, URN: Qual É Mesmo a Diferença?	Codificação e dadosWeb e HTTP	As três siglas que todo mundo usa como sinônimo codificam uma ideia limpa: identificar vs localizar vs nomear. URI é o guarda-chuva - qualquer identificador na gramática padrão; URL é o identificador que também diz onde e como buscar; URN era o esquema para nomes puros, sem localização (urn:isbn:...). Por que o próprio W3C declarou a tricotomia clássica obsoleta, o que 'URI' significa em especificações vs 'URL' na conversa, e a lição de nomes que este site vive colecionando.

Hashing e cripto (15)

Artigo	Tema	Resumo
Hash, criptografia e codificação: três coisas diferentes	Hashing e criptoCodificação e dados	Três operações constantemente confundidas, separadas de forma limpa por duas perguntas: é reversível e precisa de uma chave?
Hash criptográfico: SHA-256 e a família SHA-2	Hashing e cripto	O que uma função de hash garante, as propriedades que a tornam criptográfica e por que um resumo não é criptografia.
Escolhendo um hash: MD5, SHA-1, SHA-2, SHA-3 e BLAKE	Hashing e cripto	Quais funções de hash ainda são seguras, quais estão quebradas, quais são seus tamanhos de saída e como escolher a certa.
Colisões, resistência à pré-imagem e o limite do aniversário	Hashing e cripto	As três propriedades de segurança que um hash criptográfico deve ter, por que colisões importam e a matemática do aniversário que define a força real.
Armazenando senhas: bcrypt, scrypt e Argon2	Hashing e cripto	Por que um hash rápido como o SHA-256 é a ferramenta errada para senhas, e o que o sal e os fatores de trabalho de fato fazem.
HMAC: hash com chave para autenticação de mensagens	Hashing e criptoIdentidade e tokens	Por que um hash simples prova integridade mas não autenticidade, como uma chave secreta resolve isso e por que a estrutura do HMAC importa.
Por que HMAC, e não hash(chave + mensagem)	Hashing e cripto	O ataque de extensão de comprimento que quebra o hashing com chave ingênuo, e a construção aninhada que o HMAC usa para derrotá-lo.
Autenticando requisições de API com HMAC	Hashing e cripto	Como um segredo compartilhado e um hash permitem que um servidor confie em uma requisição que não viu ser feita, e como a proteção contra repetição se encaixa.
Verificando um HMAC com segurança: tempo constante e repetição	Hashing e cripto	Por que comparar assinaturas com == vaza um canal lateral de tempo, e por que uma assinatura válida sozinha não impede uma requisição repetida.
Por Que Hashes Criptográficos São de Mão Única	Hashing e cripto	Um hash criptográfico mapeia qualquer entrada para um resumo de tamanho fixo e é projetado para que recuperar a entrada a partir do resumo seja inviável. Essa propriedade, resistência à pré-imagem, é o motivo pelo qual você não pode descriptografar um hash. Só há duas formas de revertê-lo: consultar uma tabela ou tentar e verificar — ambas são busca, não inversão.
Força Bruta vs Tabelas de Consulta: Duas Formas de Reverter um Hash	Hashing e cripto	Como um hash não pode ser invertido, revertê-lo significa buscar, e há duas famílias. Pré-computar uma tabela gigante de pares entrada-para-hash e consultar o resumo (o que o CrackStation faz), ou gerar candidatos em tempo real e aplicar hash em cada um até um coincidir (força bruta). Elas trocam armazenamento por processamento em direções opostas.
Por Que o Salt Derrota Tabelas Pré-computadas	Hashing e cripto	Um salt é um valor aleatório único armazenado com cada hash de senha e misturado antes de aplicar o hash. Ele faz senhas idênticas gerarem hashes diferentes, o que destrói a economia das tabelas pré-computadas: um atacante precisaria de uma tabela separada para cada salt. O salt é a defesa específica que neutraliza serviços de consulta e tabelas rainbow.
KDFs Lentas: bcrypt, scrypt e Argon2	Hashing e cripto	O salt derrota a pré-computação, mas não um ataque direcionado de tentar e verificar; um hash rápido ainda permite bilhões de candidatos por segundo. Funções de derivação de chave lentas resolvem isso tornando cada tentativa deliberadamente cara e ajustável, cortando a taxa do atacante em muitas ordens de grandeza. É com elas que você deve armazenar senhas.
Espaço de Chaves, Entropia e Tempo de Quebra	Hashing e cripto	Se a força bruta pode reverter um hash se resume ao tamanho do espaço de chaves versus a taxa de hash do atacante. O espaço de chaves cresce exponencialmente com comprimento e alfabeto, então alguns caracteres a mais levam um segredo de quebrado em segundos a inviável por milênios. É a aritmética por trás de por que comprimento e aleatoriedade importam mais.
Escolhendo um Hash de Senha	Hashing e cripto	Armazenar senhas com segurança é um problema resolvido: use um hash de senha dedicado, com sal e lento, não um resumo cru. Este é um guia curto de decisão, do algoritmo a escolher aos parâmetros a definir e aos erros a evitar, alinhado às diretrizes da OWASP e do NIST.

Identidade e tokens (39)

Artigo	Tema	Resumo
Anatomia de um JSON Web Token	Identidade e tokens	Os três segmentos de um JWT, como a assinatura o torna confiável e por que decodificar um token não é o mesmo que verificá-lo.
JWKS e Rotação de Chaves: Como os Provedores Publicam suas Chaves	Identidade e tokens	Um JWKS é a lista pública de chaves de assinatura que um provedor de identidade publica para que qualquer um possa verificar seus tokens. Entender o array keys, o kid que nomeia cada chave e por que um provedor mantém mais de uma chave ao mesmo tempo é a base da verificação de tokens.
OpenID Connect: Uma Camada de Identidade sobre o OAuth 2.0	Identidade e tokens	O que o OpenID Connect adiciona ao OAuth 2.0, o ID token no centro de tudo, os papéis de relying party e provedor, como o fluxo de código de autorização entrega um ID token, e por que um ID token é apenas um JWT que você pode decodificar e ler.
Algoritmos de assinatura de JWT: HMAC, RSA e ECDSA	Identidade e tokens	Por que o cabeçalho alg de um JWT importa, a diferença entre assinatura simétrica e assimétrica, e como escolher.
As Claims do ID Token, e o Que uma Relying Party Verifica	Identidade e tokens	As claims dentro de um ID token OIDC: as obrigatórias iss, sub, aud, exp e iat; o nonce que impede repetição; azp quando há múltiplas audiências; acr e amr para a força da autenticação; auth_time; e as claims de vínculo at_hash e c_hash, com a validação que uma relying party realiza em cada uma.
Tipos de Chave JWK: RSA, EC, OKP e oct	Identidade e tokens	Toda JSON Web Key declara um kty, e esse único campo decide quais parâmetros a chave carrega. Quatro tipos cobrem quase tudo o que você encontrará: RSA, curva elíptica, as curvas de Edwards e Montgomery, e a sequência de octetos simétrica. A divisão crucial em todos eles é público versus privado.
Armadilhas de segurança em JWT: alg:none, confusão de chave e verificações ausentes	Identidade e tokens	O punhado de erros que transforma um verificador de JWT em uma máquina de falsificação, e a validação que um verificador correto deve fazer.
OIDC vs OAuth 2.0: Autenticação vs Autorização	Identidade e tokens	Por que o OAuth 2.0 é sobre autorização e o OpenID Connect é sobre autenticação, a diferença entre um access token e um ID token, por que usar OAuth puro como mecanismo de login é um antipadrão conhecido, e como saber qual token é qual.
Verificando um JWT com um JWKS: do kid à Assinatura	Identidade e tokens	Verificar um token assinado é uma sequência curta e rigorosa: ler o cabeçalho, encontrar a chave cujo kid corresponde no JWKS do provedor, confirmar o algoritmo e checar a assinatura. Cada passo tem uma armadilha clássica, e pular o rigor é como acontecem os bypasses de verificação.
OIDC Discovery: O Documento openid-configuration	Identidade e tokens	Como o documento .well-known/openid-configuration permite a uma relying party descobrir automaticamente os endpoints e capacidades de um provedor, o que significam os campos issuer, jwks_uri e de algoritmo de assinatura, por que anunciar o algoritmo none é perigoso, e por que o suporte a PKCE S256 importa.
Parâmetros e thumbprints de JWK	Identidade e tokens	Uma JWK é um objeto JSON que descreve uma chave, e seus parâmetros dizem para que a chave serve e como identificá-la. Além do material da chave, kid a nomeia e um thumbprint (RFC 7638) dá a ela um identificador estável e computado. Este artigo cobre os parâmetros comuns e como um thumbprint é derivado e usado.
Tokens de acesso, tokens de atualização e tokens de ID	Identidade e tokens	Três tokens do OAuth e do OpenID Connect que vivem sendo confundidos, para que cada um de fato serve, e por que enviar o errado ao lugar errado é um bug de verdade.
Ataques de confusão de algoritmo em JWT	Identidade e tokens	Duas falhas clássicas de verificação de JWT vêm de confiar no algoritmo declarado pelo próprio token: aceitar alg none, e ser enganado a verificar um token RS256 como HS256 usando a chave pública como segredo. Ambas são derrotadas fixando o algoritmo esperado no servidor em vez de lê-lo do token.
Clientes públicos vs confidenciais, e onde o PKCE se encaixa	Identidade e tokens	Se um cliente OAuth consegue guardar um segredo decide todo o seu modelo de segurança. Por que SPAs e apps móveis são clientes públicos, e por que o PKCE agora é recomendado para todos eles.
O fluxo authorization code do OIDC	Identidade e tokens	O fluxo authorization code é a forma recomendada de um app obter um ID token: o usuário é redirecionado ao provedor de identidade para logar, o app recebe um código de curta duração, e o troca em um token endpoint de back-channel pelos tokens. Manter o token fora do navegador é o objetivo inteiro.
O fluxo de código de autorização do OAuth 2.0	Identidade e tokens	Os quatro papéis, a dança de redirecionar e trocar, e por que o código é trocado por um token no canal de fundo.
PKCE: protegendo o fluxo de código de autorização do OAuth	Identidade e tokens	O ataque de interceptação que o PKCE derrota, como o verificador e o desafio se encaixam, e por que o S256 é obrigatório.
OpenID Connect: identidade sobre o OAuth 2.0	Identidade e tokens	Como o OIDC adiciona autenticação à autorização do OAuth, o que é o token de ID e por que o fluxo de código com PKCE é o caminho recomendado.
Como funcionam as senhas de uso único TOTP e HOTP	Identidade e tokens	Ambas transformam um segredo compartilhado em um código curto que prova posse sem transmitir o segredo. O HOTP conta eventos; o TOTP conta tempo. O motor por baixo é o mesmo HMAC mais uma etapa de truncamento.
Validando senhas de uso único: desvio, janelas e repetição	Identidade e tokens	Gerar um código é a metade fácil. Aceitar um exige tolerar o desvio de relógio, limitar a janela, rejeitar a reutilização e conter as tentativas, cada um um compromisso entre usabilidade e segurança.
Provisionando autenticadores: URIs otpauth e QR codes	Identidade e tokens	Antes de um app autenticador poder gerar códigos, ele precisa do segredo compartilhado e dos parâmetros que o acompanham. Isso é carregado em uma URI otpauth, normalmente mostrada como um QR code para escanear. Conhecer os campos da URI explica o que o QR code de fato contém e por que o segredo está em base32.
Instalando o PingFederate: Requisitos, Primeira Execução e o Assistente de Configuração	Identidade e tokens	O que uma implantação de PingFederate precisa antes mesmo de extrair o ZIP - um Java suportado, o plano de portas 9999/9031, uma conta de serviço dedicada - depois a instalação em si no Windows ou Linux, e exatamente o que o assistente de configuração inicial pede no primeiro login: licença, primeiro administrador e a base URL em que os parceiros vão confiar.
Atualizando o PingFederate: O Utilitário, o Merge e a Ordem no Cluster	Identidade e tokens	Como upgrades de PingFederate realmente funcionam: o Upgrade Utility que copia a configuração da instalação antiga para a nova, as release notes que se leem para cada versão cruzada, o merge da configuração de log que todo mundo esquece, e a ordem console-primeiro que mantém o cluster consistente.
Os Arquivos de Inicialização do PingFederate: Quem Controla o Quê	Identidade e tokens	Um tour pelos arquivos que decidem como um servidor PingFederate roda: os lançadores run.sh/run.bat, o run.properties para portas e papel no cluster, o jvm-memory.options para a heap, e o log4j2.xml para o que se escreve onde - mais o hábito de saber qual arquivo é dono de qual comportamento antes de precisar disso às 3 da manhã.
Quem Administra o PingFederate: Contas Nativas, Papéis e Login do Console via LDAP	Identidade e tokens	O modelo de acesso administrativo: contas nativas e o conjunto de papéis que divide o poder - User Admin, Admin, Expression Admin, Auditor e o papel criptográfico - mais como a autenticação do console migra de contas nativas para um diretório LDAP via run.properties e ldap.properties, com grupos do diretório mapeados nos mesmos papéis.
Higiene Operacional do PingFederate: Licença, Notificações e o Arquivo de Configuração	Identidade e tokensCertificados e PKI	Três hábitos que mantêm uma implantação de PingFederate entediante do melhor jeito: gerir o arquivo de licença e sua expiração, ligar os notification publishers para que eventos de certificado e de licenciamento se anunciem sozinhos, e tratar o arquivo de configuração data.zip - exportações manuais e os snapshots automáticos - como o mecanismo de backup, migração e desfazer que ele é.
O Mapa de Endpoints do PingFederate: Porta Admin, Porta de Runtime e o Que Mora Onde	Identidade e tokens	Todo endpoint do PingFederate pertence a uma de duas famílias: endpoints administrativos na porta do console (o console e a /pf-admin-api) ou endpoints de runtime na porta do motor (os endpoints de aplicação /idp e /sp, o servidor de autorização OAuth /as, o userinfo e o discovery do OIDC, e o /pf/heartbeat.ping que os balanceadores vigiam). Saber qual porta responde qual caminho é metade do diagnóstico.
Data Stores do PingFederate: LDAP e JDBC, Definidos Uma Vez, Usados em Todo Lugar	Identidade e tokens	Data stores são as definições de conexão reutilizáveis do PingFederate: um store LDAP com tipo de diretório, hosts de failover, credenciais de bind e LDAPS; um store JDBC com sua URL de conexão, validation query e o driver JAR que precisa ser implantado antes de qualquer coisa conectar. Validadores de credencial, lookups de atributos e provisionamento consomem as mesmas definições - que é exatamente o ponto.
Como Usuários Provam Quem São: PCVs e os Cinco Adapters	Identidade e tokens	O kit de autenticação do PingFederate que o exame nomeia: Password Credential Validators como a camada reutilizável de verificação de senha, e então os cinco adapters e o padrão de integração que cada um encarna - HTML Form para login interativo, HTTP Basic para o desafio 401, Kerberos para SSO silencioso de desktop, OpenToken para o handoff via integration kit e Reference ID para o back-channel sem agente.
Os Arquivos de Log do PingFederate: Qual Responde Qual Pergunta	Identidade e tokens	O elenco de <pf_install>/pingfederate/log e para que serve cada membro: server.log para a aplicação, admin.log e admin-api.log para quem mudou o quê, transaction.log para resumos de transações de protocolo, audit.log para eventos de autenticação e segurança - mais os níveis do log4j2.xml que controlam verbosidade e o hábito de casar a pergunta com o arquivo.
Políticas de Autenticação do PingFederate: Árvores, Seletores e o Contrato no Fim	Identidade e tokens	Como o PingFederate decide quem autentica como: árvores de política cujos nós são fontes de autenticação e seletores, ramos Fail e Success fluindo de cima para baixo, fragmentos reutilizáveis para sequências comuns, e o Authentication Policy Contract no fim de todo caminho bem-sucedido - a camada de normalização que torna tudo rio abaixo independente da fonte.
Fundamentos de LDAP: O Modelo de Diretório por Trás dos Sistemas de Identidade	Identidade e tokens	O Lightweight Directory Access Protocol a partir dos princípios: a árvore de entradas e seus distinguished names, a operação de bind que autentica, buscas com base, escopo e filtro, os grupos sobre os quais decisões de acesso se apoiam, e o transporte LDAPS - o vocabulário de trabalho que todo produto de identidade presume antes de a própria documentação fazer sentido.
Kerberos e SPNEGO: Como o SSO Silencioso de Desktop Realmente Funciona	Identidade e tokens	A maquinaria de tickets por trás do login sem prompt: os dois serviços do KDC, o TGT e o service ticket, por que SPNs e keytabs existem, como o SPNEGO carrega um ticket Kerberos dentro de um cabeçalho HTTP Negotiate, e a pequena lista de coisas - relógio fora de sincronia, SPN faltando, confiança do navegador - que quebram tudo na prática.
SCIM: O Padrão Que Provisiona as Contas Que o SSO Autentica	Identidade e tokens	O System for Cross-domain Identity Management de uma sentada: por que o provisionamento precisava de um padrão, os esquemas de Users e Groups da RFC 7643, o protocolo REST da RFC 7644 - criar, filtrar, PATCH, desativar - e onde o SCIM se encaixa ao lado de SAML e OIDC numa arquitetura de identidade: eles autenticam a conta; o SCIM é como a conta chegou lá.
O Modelo de Políticas do PingAccess: Gateway, Agente e a Pilha de Regras	Identidade e tokens	Como o PingAccess decide quem alcança o quê: as duas formas de implantação (gateway roteando para sites, agentes falando PAAP com um servidor de políticas), a partição em aplicações e recursos, regras compostas em conjuntos e grupos de conjuntos, a ordem fixa de avaliação, e a mediação de tokens que mantém backends legados no jogo.
A Plataforma PingDirectory: Armazenar, Agregar, Sincronizar, Delegar	Identidade e tokens	A plataforma de dados de identidade em quatro peças: o servidor PingDirectory como armazém LDAP de alta performance com REST SCIM 2.0 nativo, o PingDirectoryProxy como gateway LDAPv3 e diretório virtual, o PingDataSync como motor de sincronização bidirecional em tempo real entre armazéns heterogêneos, e o Delegated Admin como superfície controlada de autosserviço - mais a gramática operacional de cn=config, grupos de servidores e movimentos sem downtime.
PingOne: A Plataforma Atrás dos Nomes de Produto	Identidade e tokens	O que o PingOne de fato é - uma plataforma multi-tenant de identidade como serviço organizada em ambientes dentro de uma organização - e como seus serviços nomeados (SSO, MFA, Protect, Verify, Authorize, DaVinci) dividem o trabalho, como ela se relaciona com a pilha autogerenciada PingFederate/PingAccess/PingDirectory e com o Advanced Identity Cloud, e por que a mesma palavra aparece em tantos nomes de produto.
PingOne DaVinci: Orquestração de Identidade como uma Tela	Identidade e tokens	O que é orquestração de identidade e por que virou categoria própria de produto: os fluxos de arrastar e soltar do DaVinci, o catálogo de conectores que transforma fornecedores em nós, a orquestração dirigida pelo servidor que deixa jornadas mudarem sem release de app, a origem na Singular Key, e como o DaVinci coexiste com as jornadas e árvores de herança ForgeRock sob uma família única de SDKs.
De Sun a Ping: A Linhagem ForgeRock Decodificada	Identidade e tokens	Por que o catálogo Ping tem dois de tudo: a árvore genealógica do OpenSSO, OpenDS e OpenIDM da Sun, passando por OpenAM, OpenDJ, OpenIDM e OpenIG da ForgeRock, até os atuais PingAM, PingDS, PingIDM, PingGateway e PingOne Advanced Identity Cloud - a fusão de 2023 que criou as pilhas paralelas, qual produto responde por qual nome, e como ler qualquer diagrama de arquitetura Ping sem ambiguidade.

Identificadores (5)

Artigo	Tema	Resumo
UUIDs: v4 aleatório e v7 ordenado por tempo	Identificadores	Como um identificador de 128 bits permanece único sem uma autoridade central, e por que o v7 está se tornando o padrão para chaves de banco de dados.
Versões de UUID explicadas: v1 até v8	Identificadores	Toda a família UUID em um só lugar, da v1 com tempo-e-MAC à v4 aleatória e à v7 com ordenação temporal, além das versões baseadas em nome e como se leem os bits de versão e variante.
UUIDs vão colidir? Probabilidade e o limite do aniversário	Identificadores	Quantos bits aleatórios um UUID realmente tem, a matemática do aniversário para uma colisão e quando você quer UUIDs determinísticos.
UUIDs como chaves de banco de dados: v4, v7 e localidade de índice	Identificadores	O verdadeiro compromisso entre UUIDs e inteiros autoincrementais, e por que chaves v4 aleatórias prejudicam silenciosamente o desempenho do banco.
ULID, KSUID, Snowflake e outros IDs ordenáveis	Identificadores	As alternativas populares aos UUIDs para identificadores ordenados no tempo, como cada um é construído e por que o UUIDv7 agora cobre a maior parte daquilo para que foram inventados.

Operações e fieldcraft (4)

Artigo	Tema	Resumo
O que um engenheiro de sistemas de canal realmente faz	Operações e fieldcraft	Dentro de um distribuidor existe uma função que quase ninguém de fora do canal sabe descrever: o engenheiro de sistemas que atende revendas, não clientes finais. Montagem de lista de materiais em todo projeto que passa por ali, provas de conceito, apresentações, capacitação, bootcamps, feiras. Algumas das revendas atendidas não têm equipe técnica nenhuma, e é esse fato que explica todo o resto do trabalho.
Terminal, shell, TTY, console	Operações e fieldcraft	Quatro palavras usadas de forma intercambiável por quase todo mundo, inclusive pela documentação. Elas nomeiam quatro coisas diferentes, e a distinção explica por que Ctrl+C mata o seu comando mas não o seu shell.
O que é, de fato, um sistema operacional de rede	Operações e fieldcraft	IOS, Junos, EOS, TMOS, FortiOS, PAN-OS e os demais, comparados nos eixos que importam: sobre o que rodam, como os componentes compartilham estado, onde os planos se dividem, e o que acontece quando uma parte falha.
O caminho que um produto percorre, e os trabalhos ao longo dele	Operações e fieldcraft	Entre a empresa que constrói uma coisa e a pessoa que depende dela, um produto passa por muitas mãos. Cada par pertence a um trabalho com clientes, fornecedores, responsabilidade e medição próprios — e a medição raramente é a mesma coisa que a responsabilidade.

Redes (105)

Artigo	Tema	Resumo
Como funcionam os endereços IPv4	Redes	Os 32 bits por trás de todo endereço em quad pontilhado, e o que faixas privadas, de loopback e especiais significam.
O PRI do Syslog: Um Número, Dois Significados	Redes	Toda mensagem de syslog começa com um PRI, um número entre colchetes angulares que empacota uma facility e uma severity em um único valor. A fórmula é pequena e a aritmética é fácil depois que você a vê: PRI é igual a facility vezes oito mais severity.
Facilities e Severities do Syslog, Explicadas	Redes	O syslog define 24 facilities e 8 severities. As severities são uma escala limpa de urgência, de emergency até debug; as facilities são uma mistura de categorias genuinamente úteis e resquícios históricos do Unix, mais oito slots locais nos quais os dispositivos de rede se apoiam bastante.
Fundamentos de sub-redes	Redes	Como dividir uma rede em sub-redes menores, e por que tomar emprestado bits de host é todo o truque.
Notação CIDR explicada	Redes	O que a barra em 192.168.1.0/24 de fato significa, e como um comprimento de prefixo define um bloco de endereços IP.
Syslog em Dispositivos de Rede: Qual Facility Faz o Quê	Redes	Firewalls, balanceadores de carga e switches quase sempre registram nas facilities locais, mas cada fabricante escolhe um padrão diferente. Saber que o FortiGate usa local7 por padrão, o Cisco ASA usa local4 e o F5 BIG-IP usa local0 transforma uma parede de números de PRI em um mapa de qual caixa disse o quê.
Formatos de mensagem syslog: RFC 3164 vs RFC 5424	Redes	O PRI é o mesmo em todo lugar, mas o que vem depois não é. O syslog BSD legado (RFC 3164) tem um formato solto e sem ano, enquanto o formato moderno (RFC 5424) é preciso e estruturado. Saber qual você está vendo explica timestamps ausentes, campos ambíguos e por que parsers discordam.
VLSM: dividindo um bloco em sub-redes desiguais	Redes	Como recortar um bloco de endereços em sub-redes de tamanhos diferentes sem desperdiçar espaço, e a regra do maior primeiro que mantém tudo organizado.
Como o syslog viaja: UDP, TCP e TLS	Redes	O syslog pode trafegar sobre UDP puro, sobre TCP, ou sobre TLS, e a escolha decide se as mensagens podem ser silenciosamente perdidas, reordenadas ou lidas em trânsito. Este artigo cobre os três transportes, as portas envolvidas, e por que qualquer coisa da qual você depende para auditoria não deveria ser enviada sobre UDP.
Uma atribuição VLSM, resolvida do início ao fim	Redes	Uma atribuição completa de sub-redes de comprimento variável para uma rede realista: dimensionar cada segmento, ordenar do maior para o menor, atribuir os endereços reais e contabilizar o espaço que sobra.
A Primeira Hora: Isolamento de Falhas Orientado por Hipóteses	RedesOperações e fieldcraft	A diferença entre um incidente de duas horas e um de dois dias costuma ser decidida na primeira hora, e raramente é decidida por ferramentas. É decidida por método: alinhar o início com a mudança, isolar por escopo, ler assinaturas de camada e tratar toda explicação como uma hipótese que a evidência precisa sustentar ou enfraquecer antes que alguém aja sobre ela.
Supernetting e agregação de rotas	Redes	Como prefixos contíguos se combinam em um mais curto, a regra de alinhamento que decide se dois blocos podem se fundir, e a diferença entre a agregação exata e uma única super-rede que os cubra.
Janelas de Mudança Que Não Viram Incidentes	RedesOperações e fieldcraft	A maior parte das quedas autoinfligidas são mudanças que deram errado sem um caminho limpo de volta. A diferença entre uma mudança e um incidente raramente está na mudança em si; está no runbook em torno dela — o que você verificou antes, como sequenciou, o que o faria parar e se o caminho de volta estava escrito e testado antes de você precisar dele.
Sumarização de rotas	Redes	Por que uma única rota resumo pode substituir muitas específicas, a atribuição contígua e alinhada da qual ela depende, e o risco de buraco negro ao sumarizar uma faixa que você não possui por completo.
Causa-Raiz É um Verbo, Não um Substantivo	RedesOperações e fieldcraft	A expressão causa-raiz convida a um único vilão e a um final arrumadinho. Incidentes reais raramente têm um; têm fatores contribuintes, e o trabalho honesto é estruturar os candidatos e a evidência que confirmaria ou descartaria cada um — não nomear um culpado antes de a evidência chegar.
Sobreposições e lacunas de sub-redes	Redes	O que significa dois prefixos se sobreporem ou um conter o outro, por que a correspondência de prefixo mais longo torna algumas sobreposições intencionais, e como encontrar as lacunas não atribuídas de um plano de endereços.
Espaço de endereços IPv4 privados e a RFC 1918	Redes	As três faixas privadas, por que não são roteáveis na Internet e os outros blocos especiais que a ferramenta CIDR sinaliza.
Pensar no Raio de Impacto Antes de Mudar Qualquer Coisa	RedesOperações e fieldcraft	Antes de uma mudança, a pergunta não é só se isto vai funcionar, mas se der errado, até onde o dano chega. O raio de impacto é o formato desse alcance — alvo, vizinhos, dependentes, pessoas — e pensá-lo em camadas é como você decide o que conter antes de tocar em qualquer coisa.
Chamados de TAC Que São Triados Rápido	RedesOperações e fieldcraft	Os chamados de suporte mais lentos raramente são os problemas mais difíceis; são os que foram abertos sem o diagnóstico que o fornecedor precisa. Um chamado que chega completo — problema claro, erro exato, o pacote de diagnóstico, o impacto — pula as idas e vindas e começa com um engenheiro de fato trabalhando nele.
Entendendo o endereçamento IPv6	Redes	Como um endereço IPv6 de 128 bits é estruturado e escrito, as regras para comprimi-lo canonicamente, o que os tipos de endereço e escopos significam, e como identificadores de interface e DNS reverso funcionam.
Como hosts IPv6 obtêm endereços: SLAAC e DHCPv6	Redes	Como um host IPv6 se configura a partir do link-local para cima, o que os anúncios de roteador decidem, e a diferença entre SLAAC, endereços de privacidade, e DHCPv6.
Pontos de Captura Antes dos Pacotes	RedesOperações e fieldcraft	O instinto sob pressão é rodar tcpdump em qualquer lugar conveniente e encarar a enxurrada. O hábito sênior é o oposto: decidir onde observar, em que ordem e o que cada observação significaria - antes de coletar um único pacote. Evidência se projeta, não se pesca.
Sub-redes IPv6 e a fronteira /64	Redes	Por que as sub-redes IPv6 são sobre estrutura em vez de escassez, por que uma única sub-rede é quase sempre um /64, e como a delegação de prefixo distribui espaço de endereços.
Sufixos públicos e o domínio registrado (eTLD+1)	RedesCertificados e PKI	O que são um sufixo público (eTLD) e um domínio registrado (eTLD+1), por que você não pode calculá-los pegando os dois últimos rótulos, como o algoritmo da Public Suffix List os resolve, e onde a fronteira importa: limites de emissão de certificados, cookies e same-site.
Descoberta de Vizinhos: como o IPv6 substitui o ARP	Redes	Como o IPv6 encontra vizinhos em um enlace usando ICMPv6 e multicast em vez do ARP por broadcast, as cinco mensagens de Descoberta de Vizinhos, e por que o broadcast se foi.
Mapeie o Caminho Antes de Fazer Troubleshooting	RedesOperações e fieldcraft	As sessões de troubleshooting mais caras compartilham uma falha: ninguém sabia de fato o caminho. O hábito sênior é recusar-se a raciocinar sobre uma falha até a cadeia estar modelada - resolução incluída, retorno em separado, cada reescrita e fronteira TLS nomeada, e cada desconhecido visivelmente desconhecido.
Baselines Antes de Você Precisar Delas	RedesOperações e fieldcraft	Toda comparação é tão honesta quanto o seu lado mais fraco. A disciplina é baseline capturada antes das mudanças, confiança declarada em vez de saúde lembrada, janelas de observação que deixam a convergência falar, alfabetização de churn para os contadores que sempre se movem - e nunca chamar uma mudança de bem-sucedida só por componentes verdes.
Rodando IPv6 e IPv4 juntos: dual-stack e tradução	Redes	Como a internet faz a ponte entre duas famílias de endereços incompatíveis: dual-stack, Happy Eyeballs, NAT64, e os endereços com IPv4 embutido que fazem isso funcionar.
O Que É um OUI, e Como Endereços MAC São Atribuídos	Redes	Como um endereço MAC é estruturado, o que é o OUI (o prefixo do fabricante) e quem o distribui, a diferença entre endereços de administração universal e local, e por que um MAC de Wi-Fi aleatorizado não tem fabricante algum.
Fabric Connect e SPBM: Por Que o VOSS Aposenta o Spanning Tree	Redes	O que é de fato o Fabric Connect da Extreme - o Shortest Path Bridging MAC (SPBM, IEEE 802.1aq) com um plano de controle IS-IS e um plano de dados MAC-in-MAC - e por que reduzir o core a um único protocolo link-state substitui o spanning tree e a pilha usual de overlays.
Lendo a saída do dig de cima a baixo	Redes	Uma resposta do dig tem uma forma fixa: uma linha de versão, o cabeçalho, a linha de flags, a pseudo-seção OPT, as quatro seções e as estatísticas da consulta. Depois que você conhece cada bloco, consegue ler qualquer resposta num relance e identificar a única linha que explica um problema de resolução.
O cabeçalho DNS: opcode, status e flags	Redes	Duas linhas carregam todo o estado de uma mensagem DNS: que tipo de consulta é, se ela teve sucesso e sete flags de um único bit (qr, aa, tc, rd, ra, ad, cd) que dizem quem respondeu e como. Lê-las corretamente é a diferença entre um diagnóstico de dois minutos e uma hora de adivinhação.
O I-SID: Como o VOSS Substitui a Extensão de VLANs	Redes	Por que o Fabric Connect da Extreme provisiona serviços na borda em vez de estender VLANs salto a salto, o que é o I-SID de 24 bits, e como Layer 2 VSN, Layer 3 VSN e IP Shortcuts usam o mesmo mecanismo sobre um core MAC-in-MAC do SPBM.
IS-IS, Nicknames e B-MACs: O Plano de Controle do VOSS	Redes	Como o SPBM usa o IS-IS como seu único plano de controle link-state apenas nos enlaces da fabric, o que é um nickname de nó de 20 bits e por que ele deve ser único, e como o system-id / backbone MAC conduz o encaminhamento MAC-in-MAC.
Lendo os registros em uma resposta do dig	Redes	Todo registro em uma seção do dig são cinco colunas: nome, TTL, classe, tipo e rdata. Este artigo percorre as colunas e depois o rdata dos tipos de registro que você realmente encontra, de A e CNAME a MX, SOA, SRV e CAA, para que uma parede de registros se leia como fatos simples.
Fabric Attach: Provisionando a Borda Automaticamente (Onde o VOSS Encontra o EXOS)	Redes	Como o Fabric Attach permite que um dispositivo de borda sinalize o serviço de que precisa para que a fabric provisione o I-SID automaticamente, os papéis FA Server / Proxy / Client, como ele usa o LLDP, e como um switch EXOS se conecta a uma fabric VOSS sem rodar SPBM.
O EDNS e a pseudo-seção OPT	Redes	A pseudo-seção OPT não é um registro e não é algo que você consultou: é metadado do EDNS(0) que o dig mostra perto do topo de uma resposta. Ela carrega o tamanho do payload UDP, a flag DO que solicita DNSSEC e opções como COOKIE, e explica silenciosamente toda uma classe de falhas de resolução.
Registros DNSSEC na saída do dig	Redes	Adicione +dnssec e uma resposta do dig ganha uma nova família de registros: RRSIG, DNSKEY, DS e os registros de negação NSEC ou NSEC3. Este artigo explica o que é cada um, como eles se encadeiam da raiz até uma zona, e o que a flag ad realmente certifica.
VOSS vs EXOS: Dois Sistemas Operacionais da Extreme	Redes	A Extreme entrega hardware universal que inicializa com EXOS ou VOSS (Fabric Engine). Isto é o que de fato difere - um SO de Ethernet tradicional com uma CLI intuitiva versus um SO nativo de fabric construído sobre o SPBM - e as três fronteiras nas quais eles se interconectam.
Lendo a saída do nslookup	Redes	O nslookup imprime um cabeçalho Server / Address para o resolvedor usado, um marcador opcional Non-authoritative answer, e então a resposta em um formato de prosa por tipo. Conhecer essa forma permite ler qualquer resultado rapidamente e ver num relance se ele teve sucesso, de onde veio e o que significa.
SMLT e vIST: Dual-Homing de uma Borda de Fabric	Redes	Como o Split MultiLink Trunking faz o dual-homing de um dispositivo de borda para um par de switches com enlaces ativo-ativo e sem spanning tree, como o virtual IST roda o inter-switch trunk pela própria fabric SPBM, e o smlt-peer-system-id e o smlt-virtual-bmac que fazem o cluster ser um nó lógico.
nslookup vs dig: qual usar	Redes	O nslookup e o dig ambos consultam DNS, mas o nslookup é mais enxuto e esconde as flags do cabeçalho e os TTLs que o dig mostra por completo. Este artigo mapeia uma saída sobre a outra e dá uma regra simples para saber qual usar.
Como o nslookup imprime cada tipo de registro	Redes	Em vez das colunas fixas do dig, o nslookup rotula cada registro em prosa: mail exchanger =, canonical name =, nameserver = e um bloco de várias linhas para o SOA. Um guia curto para ler a linha de cada tipo.
Respostas autoritativas vs não autoritativas	Redes	O marcador Non-authoritative answer no nslookup significa que o resultado veio do cache de um resolvedor, não de um servidor que de fato mantém a zona. Este artigo explica a diferença, por que ela normalmente não é problema, e como obter uma resposta autoritativa quando você precisa.
Erros do nslookup e o que significam	Redes	Quando uma consulta falha, o nslookup imprime uma linha como ** server can't find NAME: CODE. O código é o diagnóstico inteiro. Este artigo cobre NXDOMAIN, SERVFAIL, REFUSED e timeouts, o que cada um diz, e a primeira coisa a verificar para cada.
Consultas DNS reversas com o nslookup	Redes	O DNS reverso mapeia um endereço IP de volta para um nome por meio de registros PTR que ficam sob in-addr.arpa para IPv4 e ip6.arpa para IPv6. O nslookup faz isso automaticamente quando você lhe passa um endereço. Este artigo cobre como o nome reverso especial é construído, por que os servidores de e-mail se importam, e por que o direto e o reverso podem legitimamente discordar.
Modo interativo do nslookup	Redes	Execute o nslookup sem argumentos e ele entra em um prompt interativo onde você pode trocar de resolvedor, mudar o tipo de registro, ligar a saída de debug e consultar vários nomes em uma única sessão. Este artigo cobre o punhado de comandos que vale a pena conhecer e quando o interativo vence uma consulta única.
Opções de consulta e controle de saída do dig	Redes	O verdadeiro poder do dig está em suas opções: escolher qual servidor perguntar, o tipo de registro e exatamente quanto da resposta imprimir. Este artigo cobre o punhado que você realmente usará todo dia, de @servidor e -t a +short e a combinação +noall +answer que reduz o dig a apenas os registros.
Seguindo a delegação com dig +trace	Redes	O dig +trace resolve um nome da forma como a internet de fato faz: começando na raiz, seguindo a delegação para o TLD e então para os próprios servidores autoritativos do domínio, imprimindo cada salto. É a melhor forma de ver onde a resolução quebra e de entender como o DNS é costurado.
Lendo um comando curl	RedesWeb e HTTP	Um comando curl é um comando de shell: a palavra curl, um conjunto de opções e uma URL. Lê-lo é ver como o shell primeiro divide a linha (aspas, contrabarras, continuações de linha) e depois como o curl lê sinalizadores curtos, longos e agrupados.
Sinalizadores de dados do curl e a armadilha do Content-Type	RedesWeb e HTTP	O curl tem várias formas de anexar um corpo, e elas diferem na codificação e no Content-Type padrão. A grande surpresa é que -d usa codificação de formulário por padrão, não JSON, então um corpo JSON pode ser rotulado errado e recusado.
Traduzindo curl para fetch()	RedesWeb e HTTP	A API fetch do navegador e o curl descrevem a mesma requisição de formas diferentes. Método, cabeçalhos e corpo se mapeiam de forma limpa, mas algumas diferenças (Content-Type de formulário implícito, cookies e verificação TLS) exigem cuidado.
Cabeçalhos, autenticação e cookies no curl	RedesWeb e HTTP	Cabeçalhos, autenticação e cookies são como uma requisição se identifica e se autoriza. -H adiciona cabeçalhos, -u é HTTP Basic, um token bearer é apenas um cabeçalho, e -b/-c cuidam de cookies. Todos são sensíveis.
Como o curl infere o método HTTP	RedesWeb e HTTP	O curl nem sempre precisa de -X para escolher um método. Dados no corpo implicam POST, -I implica HEAD, -G força GET, e um -X explícito sempre vence. Conhecer as regras diz num relance o que uma requisição fará.
Sinalizadores do curl que mudam a postura de segurança	RedesWeb e HTTP	Alguns sinalizadores do curl mudam o quão segura é uma requisição: -k desativa a verificação TLS, http envia tudo em texto puro, e credenciais na URL podem vazar. Nenhum torna uma requisição maliciosa, mas cada um vale a leitura antes de executar ou compartilhar um comando.
O Proxy TCP: O Que um Middlebox de Camada 4 Vê e o Que Não Vê	RedesWeb e HTTP	Um proxy TCP termina a conexão TCP do cliente e abre uma separada para o servidor, unindo dois fluxos independentes na Camada 4. Ele reescreve endereços e portas, pode agrupar e reutilizar conexões, e não vê nada do payload da aplicação acima do cabeçalho de transporte. Este artigo explica full-proxy versus encaminhamento de pacotes, por que o IP de origem desaparece, e como o Proxy Protocol o traz de volta.
Proxies HTTP: Forward vs Reverse, Explícito vs Transparente	RedesWeb e HTTP	Um proxy HTTP parseia requisições na Camada 7, então pode rotear por URL, reescrever cabeçalhos e impor política sobre conteúdo que um proxy TCP não consegue ver. Dois eixos descrevem toda implantação: forward vs reverse (para qual lado ele trabalha) e explícito vs transparente (se o cliente sabe que ele está lá). Este artigo cobre o método CONNECT, o X-Forwarded-For e o Via, e onde cada combinação é usada.
Os 27 protocolos que o curl fala	RedesWeb e HTTP	O curl é conhecido como ferramenta de HTTP, mas a versão atual fala 27 esquemas de URL: transferência de arquivos por FTP, SFTP e SMB, e-mail por SMTP, POP3 e IMAP, publish-subscribe MQTT, consultas LDAP e relíquias como Gopher, DICT e Telnet. Conhecer o mapa, e saber quais esquemas começam em texto claro, muda a forma de usar a ferramenta.
HTTP/0.9 vs 1.0 vs 1.1 vs 2 vs 3: Cinco Versões do Protocolo da Web	RedesWeb e HTTP	De um GET de uma linha que só buscava HTML a um protocolo multiplexado montado sobre QUIC: o que cada versão do HTTP adicionou, por que foi necessária e qual RFC a define hoje — incluindo a reorganização de 2022 que separou a semântica do HTTP (RFC 9110) da sintaxe de fio de cada versão.
AltaVista: feito para quebrar um processador, e perdido ao virar portal	Redes	O AltaVista começou como benchmark. Um pesquisador queria uma carga caótica o bastante para estressar os novos chips Alpha da DEC, então apontou um rastreador para a web inteira. O resultado liderou a busca por anos e depois foi desmontado pelos próprios donos, o que faz dele o estudo de caso mais claro da indústria sobre perder um mercado que já se tem.
GPON: como uma fibra atende um bairro inteiro	Redes	Uma Gigabit Passive Optical Network leva um único filamento de vidro da central, divide a luz com prismas sem energia e o compartilha entre dezenas de casas. Como a luz é dividida, por que o upstream precisa de agenda e para onde vai o orçamento de decibéis.
Jumbo frames: quando 1500 bytes deixa de bastar	Redes	Por que a Ethernet parou em 1500 bytes, o que os quadros jumbo de 9000 bytes realmente compram, onde eles brilham e como uma divergência de MTU vira um buraco negro silencioso.
HTTP QUERY: a leitura que finalmente carrega um corpo	RedesWeb e HTTP	A RFC 10008 (junho de 2026) deu ao HTTP seu primeiro método novo desde 2010: o QUERY é seguro, idempotente e cacheável como o GET, mas carrega um corpo de requisição como o POST. O que ele corrige, como funcionam seu cache e sua descoberta, por que 'seguro' não é 'inofensivo' e o que cada camada da infraestrutura precisa conferir antes de o tráfego QUERY chegar.
O Modelo OSI na Prática: Mapeando Tráfego Real em Sete Camadas	Redes	O modelo Open Systems Interconnection ganha seu lugar não como trivia, mas como um sistema de endereços compartilhado para problemas: um endereço MAC é Camada 2, um endereço IP é Camada 3, uma porta TCP ou UDP é Camada 4, e a aplicação vem por cima. Como mapear artefatos reais em camadas, onde o modelo se dobra diante da realidade TCP/IP, e por que conversas de troubleshooting andam mais rápido quando todos apontam para o mesmo andar.
Switch, Roteador, Firewall: Quem Faz o Quê no Caminho	Redes	Três papéis de dispositivo carregam a maior parte de qualquer diagrama de rede: switches encaminham quadros dentro de um domínio de Camada 2, roteadores movem pacotes entre redes, e firewalls decidem o que pode passar. A função e o propósito de cada um, como um application delivery controller se relaciona com os três, e como ler um diagrama de rede sem se perder.
ARP e Endereços MAC: Como o IP Encontra a Ethernet	Redes	Todo pacote numa rede local é entregue por endereço MAC, e o ARP é o serviço de diretório que mapeia um IP para um deles. O mapeamento um-para-um, a leitura da saída do ARP para provar que a resolução funcionou, o gratuitous ARP, e o MAC masquerading - o truque de failover que faz um endereço se mover sem que os switches percebam.
Tabelas de Roteamento e o Gateway Padrão: Como um Pacote Escolhe o Próximo Salto	Redes	Por que uma rota é necessária, o que é um salto, e a regra do longest prefix match que decide qual entrada da tabela vence - trabalhada como a prova aposentada de fundamentos pedia: dado um destino e uma tabela de roteamento, identifique a rota a ser usada. Mais a rota padrão, a entrada que responde quando nenhuma outra responde.
NAT Explicado: Origem, Destino, e Por Que a Internet Ainda Funciona	Redes	O Network Address Translation reescreve endereços em pleno voo - o NAT de origem deixa mil hosts privados compartilharem um endereço público, o NAT de destino publica um serviço interno num endereço externo, e a tabela de tradução é o que faz o tráfego de retorno achar o caminho de casa. A função e o propósito, os sabores, e as consequências de troubleshooting de cada um.
DHCP: o Ciclo de Vida do Lease por Trás do Endereçamento Automático	Redes	O Dynamic Host Configuration Protocol distribui endereços, gateways e resolvedores para que hosts cheguem configurados em vez de em branco. A troca discover-offer-request-acknowledge, o que um lease significa e como funciona a renovação, os relays que carregam pedidos entre sub-redes, e as assinaturas de falha - incluindo o endereço autoatribuído que diz que nenhum servidor respondeu.
O Ciclo de Vida da Conexão TCP: Handshake, Encerramento, e Por Que Conexões Falham	Redes	Toda conversa TCP tem três atos: o handshake de SYN que a cria, o fluxo de dados que a justifica, e o FIN ou RST que a encerra. A diferença entre o fechamento educado e o aborto, as possíveis razões de término de uma conexão, e a lista curta de causas quando uma nem chega a se estabelecer - a alfabetização por trás de toda captura que você vai ler.
Fundamentos de VPN: o Que Túneis Protegem, e o Que Não Protegem	Redes	Uma virtual private network embrulha o tráfego num túnel cifrado para que ele cruze redes não confiáveis como se nunca tivesse saído de casa. O racional - privacidade, criptografia e os limites do anonimato -, os usos válidos de enlaces site-to-site ao acesso remoto, e as fronteiras honestas: o que um túnel genuinamente protege, e as promessas que ele não consegue manter.
A Última Milha: do POTS ao Sempre-Conectado	Redes	A história da conectividade residencial é a história de um trecho teimoso de infraestrutura - a última milha - sendo reinventado quatro vezes: o serviço telefônico convencional que carregava vozes, o truque do ADSL que fez o mesmo par de cobre carregar dados em tempo integral, a segunda vida DOCSIS da planta de cabo, e a fibra até a casa. Por que os 256 kbps de 1999 importaram mais que sua velocidade, o que o sempre-conectado de fato mudou, e como uma casa pode acabar servida pelo fantasma do cobre, pelo coaxial, pelo vidro e pelo céu ao mesmo tempo.
Pagers e Redes de Paging: Alcançável Antes do Tempo Real	Redes	Antes do telefone no bolso, havia o bip no cinto: um receptor de rádio unidirecional numa rede de broadcast em simulcast, alimentada - na sua forma clássica - por uma operadora humana que pegava as palavras de quem ligava e as digitava para o ar. Como as redes de paging de fato funcionavam, dos bipes two-tone ao POCSAG e ao FLEX, por que o modelo de retransmissão por operadora significava estranhos lendo a sua vida em voz alta, e por que hospitais mantiveram pagers muito depois de todo mundo seguir em frente.
Constelações LEO: Por Que a Nova Internet por Satélite É Outro Animal	Redes	Satélites geoestacionários resolveram cobertura e perderam latência: estacionados a 35.786 km, a física sozinha cobra meio segundo de ida e volta. Constelações em órbita terrestre baixa invertem o negócio - satélites a poucas centenas de quilômetros, latência nas dezenas de milissegundos, ao preço de precisar de milhares de satélites em movimento, terminais phased-array que os rastreiam, e handoffs constantes. A geometria, a engenharia que ela força, os enlaces laser entre satélites, e as trocas honestas.
LoRa e LPWAN: Quilômetros de Alcance numa Bateria de Moeda	Redes	Há um canto do networking onde os requisitos invertem tudo que a banda larga otimiza: enviar poucos bytes, poucas vezes por hora, por quilômetros de cidade, de uma bateria que precisa durar anos. LPWAN é esse canto; LoRa é seu cidadão mais conhecido - o rádio de chirp spread spectrum da Semtech trocando taxa de bits por orçamentos de enlace espantosos, e o LoRaWAN, a camada de rede da LoRa Alliance, organizando gateways, classes de dispositivo e a etiqueta de duty cycle do espectro compartilhado.
Métodos HTTP: Os Verbos da Web	RedesWeb e HTTP	GET, HEAD, POST, PUT, DELETE, PATCH, OPTIONS, TRACE, CONNECT - e agora QUERY. O que cada método promete, por que 'safe' e 'idempotente' são as duas propriedades que de fato importam (para caches, retentativas, proxies e crawlers), por que formulários HTML só aprenderam dois verbos, e como ler a alma de uma API pelos métodos que ela aceita.
Códigos de Status HTTP: As Cinco Famílias	RedesWeb e HTTP	Três dígitos, e o primeiro faz a maior parte do trabalho: 1xx continua, 2xx tem sucesso, 3xx redireciona, 4xx culpa o cliente, 5xx confessa pelo servidor. A lógica das famílias, os códigos que um operador de fato encontra (200, 204, 301 vs 302 vs 307, a dança de cache do 304, 401 vs 403, 404 vs 410, 429, 500 vs 502 vs 503 vs 504), as curiosidades famosas, e por que o primeiro dígito de um código desconhecido sempre basta para agir.
Cabeçalhos HTTP: A Anatomia dos Metadados	RedesWeb e HTTPSegurança e WAF	Tudo que o HTTP sabe sobre uma mensagem e que não é a mensagem viaja em cabeçalhos: linhas nome-dois-pontos-valor com nomes insensíveis a caixa, dobradas em quatro papéis de trabalho - contexto de requisição, contexto de resposta, metadados de representação e encanamento de carga. A divisão end-to-end vs hop-by-hop pela qual proxies vivem, o cabeçalho Host que tornou a hospedagem virtual possível, negociação de conteúdo, condicionais, e por que a ordem dos cabeçalhos virou impressão digital.
Cookies HTTP: Estado Sobre um Protocolo Sem Estado	RedesWeb e HTTPSegurança e WAF	O HTTP esquece você depois de cada requisição - por projeto. Cookies são o retrofit que o deixa lembrar mesmo assim: o servidor escreve um bilhete com Set-Cookie, o navegador o devolve com Cookie, e todo o resto - escopo, vida útil, segurança - são regras sobre quando esse bilhete viaja. Escopo por Domain e Path, vidas de sessão vs persistente, por que o servidor nunca vê o que o navegador sabe, e onde o artigo de flags de segurança assume.
AJAX, XHR e fetch: Quando as Páginas Aprenderam a Responder	RedesWeb e HTTP	Na primeira década, a web tinha um movimento só: clique, tela em branco, página nova. O XMLHttpRequest deu às páginas um segundo - pedir dados em segundo plano, atualizar no lugar - e 'AJAX' batizou a revolução (que prontamente trocou o X pelo JSON). Como o XHR funcionava, o que o fetch consertou (promises, streams, uma API sã), o que ficou igual por baixo (continua tudo HTTP), e a fronteira a que toda requisição de fundo responde: same-origin, com CORS como exceção negociada.
HTML, CSS e o DOM: A Página como Árvore Viva	RedesSegurança e WAF	Três tecnologias, uma divisão de trabalho: HTML declara estrutura, CSS declara apresentação, e o DOM é o que de fato existe em tempo de execução - a árvore que o navegador construiu do seu HTML, a única coisa que scripts tocam, e a razão de 'ver código-fonte' e 'inspecionar elemento' mostrarem mundos diferentes. Como marcação vira árvore, como seletores a endereçam (os mesmos seletores com que o CSS estiliza e os scripts consultam), e por que o DOM é onde o XSS acontece e onde a CSP monta guarda.
O Que É um Algoritmo? Um Primer de Trabalho	RedesWeb e HTTPHashing e cripto	Um algoritmo é uma receita finita e sem ambiguidade que transforma entrada em saída - e as perguntas de engenharia são sempre as mesmas três: está correto, como o custo cresce, e o que ele troca. Big-O como a gramática do crescimento, por que constantes e assíntotas importam, as famílias centrais que você já opera (busca, ordenação, hash, grafos, máquinas de estado), e onde cada uma já roda dentro das ferramentas deste site.
A família IEEE 802, grupo a grupo	Redes	802 não é um padrão só, e sim um comitê de grupos de trabalho, cada um dono de uma fatia das duas camadas inferiores. Aqui está o mapa: quem é dono do Ethernet, quem é dono do Wi-Fi, o que significam os números depois do ponto, e quais grupos estão vivos, hibernando ou mortos há tempo.
Cabeamento estruturado: o sistema atrás da tomada de rede	Redes	A TIA-568 transforma a fiação de um prédio de improviso em sistema: lances horizontais, salas de telecom, o canal de 100 metros, categorias, pinagens e as classificações de fogo que os fiscais de fato conferem. O mapa do espelho na parede ao backbone.
BGP: como a internet decide para onde o tráfego vai	Redes	O Border Gateway Protocol é o cérebro de roteamento da internet - e não funciona nada como o roteamento dentro da sua rede. Um primer prático: sistemas autônomos, a ideia de path vector, os atributos que codificam política comercial, por que a convergência é lenta de propósito, e o que o RPKI conserta.
OSPF: o mapa, a matemática e a área 0	Redes	Open Shortest Path First é o protocolo de roteamento interior padrão: todo roteador recebe o mapa inteiro e roda Dijkstra sobre ele. Um primer prático: inundação link-state, áreas e a regra do backbone, custo e a armadilha da reference bandwidth, eleições de DR, e os hábitos de projeto que mantêm o OSPF entediante.
IS-IS: o protocolo de roteamento escondido sob a internet	Redes	O gêmeo link-state do OSPF vindo do mundo OSI roda os backbones de operadora que seus pacotes cruzam diariamente - e a maioria dos engenheiros nunca digitou seu nome. Um primer prático: o truque da camada 2, endereços NET, níveis em vez de áreas, extensibilidade por TLV, e por que as grandes redes nunca saíram.
MPLS: rótulos, pilhas e o núcleo livre de BGP	Redes	Empurre um rótulo na borda, troque-o salto a salto, remova-o antes da saída - e de repente o núcleo não precisa de tabela de rotas, VPNs isolam milhares de clientes, e o tráfego vai para onde a engenharia manda. Um primer prático de comutação por rótulos, L3VPNs e o presente em Segment Routing.
Peer-to-peer, do Napster ao enxame: as arquiteturas que sobreviveram à pirataria	Redes	Napster, Gnutella, Kazaa, eMule, BitTorrent - quatro anos de compartilhamento de arquivos produziram cinco arquiteturas de rede distintas, cada uma resolvendo a fraqueza de que a anterior morreu. O índice centralizado, a inundação não estruturada, o supernó, a tabela hash distribuída e o enxame - o que cada um de fato era, como o tribunal moldou a topologia, e por que essas ideias hoje movem silenciosamente o Skype, os CDNs de streaming e as blockchains.
A reserva de mercado brasileira, na teoria e na prática	Redes	Por oito anos o Brasil reservou legalmente seu mercado de informática a empresas de capital nacional. A teoria era uma indústria nascente que cresceria e competiria. A prática foi clones, contrabando, uma guerra comercial com Washington e uma geração de engenheiros que aprendeu nas máquinas que a política criou. As duas metades são verdadeiras.
Transformação digital: o que mudou de fato, e como ler o que vem a seguir	RedesOperações e fieldcraft	Transformação não é a tecnologia chegando. É o momento em que uma capacidade deixa de ser notável e passa a ser pressuposta. Um olhar sobre o que realmente mudou em dinheiro, trabalho, saúde e Estado, e depois um método honesto para ler previsões, incluindo um prazo que é real e está em movimento ao mesmo tempo.
Como a internet é desligada, e quem de fato consegue fazer isso	Redes	Não existe um interruptor, mas existem pontos de estrangulamento: cabos, roteamento, trocas de tráfego e o pequeno número de empresas por onde a maior parte do tráfego passa. Um passeio pelos mecanismos, pelo que cada Estado realmente consegue fazer com eles, e pela conclusão incômoda de que vigiar tudo é mais fácil do que desligar qualquer coisa.
Quem de fato governa a internet no Brasil	Redes	O Brasil construiu um dos modelos de governança da internet mais distintos do mundo: multissetorial antes de a palavra existir, com uma fundação de pesquisa operando a primeira conexão do país e um comitê que não é ministério. Os órgãos, as leis, a espinha dorsal de computação estatal por baixo de tudo, e a decisão de 2025 que reescreveu a responsabilidade das plataformas.
A janela das comunicações de dados, 1968 a 1972	Redes	Um regulador abriu um mercado. A decisão Carterfone permitiu conectar à rede telefônica equipamentos que a AT&T não fabricara, e em quatro anos existia uma indústria de modems e multiplexadores que antes não podia existir. O gatilho, a janela, os produtos que a definiram e por que ela fechou.
Radioamadorismo: indicativos, modos, e por que ainda importa	Redes	Um indicativo é uma identidade emitida por tratado, legível em qualquer lugar do planeta. O que as letras e o dígito significam, como PY2 diz São Paulo, a diferença entre fonia, CW e digitais, o que uma repetidora de fato faz, e por que um hobby mais antigo que a radiodifusão ainda é o recurso final quando todo o resto falha.
A janela das redes locais, 1979 a 1982	Redes	As corporações vinham comprando computadores havia uma década e agora precisavam que eles conversassem dentro do prédio. A janela aberta por volta de 1979 produziu as redes locais e o data PBX, decidiu uma disputa entre duas respostas para o mesmo problema, e fechou quando a resposta ficou óbvia.
O espectro de rádio: quais frequências vão até onde, e por quê	Redes	Por que um sinal de ondas curtas cruza um oceano com 100 watts enquanto seu Wi-Fi sofre para atravessar uma parede. As faixas de VLF a EHF, os três modos de propagação que explicam quase tudo, e a troca que governa todo o rádio: alcance ou capacidade, nunca os dois.
A janela da interconexão de redes, 1984 a 1988	Redes	O sucesso da janela anterior criou o problema desta: prédios cheios de redes locais que não se alcançavam. Pontes e roteadores responderam, uma guerra de padrões correu em paralelo, e duas feiras em 1988 tornaram o desfecho visível antes de a discussão terminar formalmente.
As duas feiras de 1988	Redes	Uma feira pôs equipamentos de fabricantes concorrentes numa única rede viva, em público, onde a falha seria vista. A outra mostrou um ecossistema em boa parte descrito, e não entregue. A discussão de padrões seguia formalmente aberta, e quem andasse pelos dois salões não precisava dela encerrada.
Os fundadores que não paravam de fundar	Redes	Ler esta indústria como uma sequência de empresas ignora que ela é, em boa medida, a mesma população de pessoas se recombinando. Ungermann saiu da Intel para a Zilog e da Zilog para a Ungermann-Bass; Metcalfe saiu da Xerox para a 3Com. O que esse padrão explica, e o que não explica.
BFD: quando um enlace está no ar e morto ao mesmo tempo	Redes	Protocolos de roteamento detectam falha com os próprios temporizadores, medidos em dezenas de segundos. O BFD detecta em milissegundos, e existe porque a falha de enlace mais perigosa é aquela em que a interface continua no ar. O que ele faz, o que não faz, e onde dá errado.
Redundância de primeiro salto: VRRP, HSRP e o gateway que é uma ficção	Redes	Um host conhece um gateway padrão e não sabe fazer failover. VRRP e HSRP resolvem isso fazendo o endereço do gateway pertencer a um papel, não a um roteador. Como funcionam, por que a escolha do protocolo importa menos do que se pensa, e os modos de falha que tornam um par redundante pior que um roteador só.
Multicast: o preço de não inundar	Redes	Multicast envia uma cópia onde unicast enviaria milhares, e a economia é real. O que ele ganha em banda, paga em estado — e os modos de falha não são os esperados: uma rede que inunda multicast por toda parte normalmente está funcionando exatamente como foi configurada.
Resolvedores DNS públicos: o que você está de fato escolhendo	Redes	Cloudflare, Google, Quad9, OpenDNS e os demais diferem muito menos em velocidade do que em política. O que cada um faz com suas consultas, quais bloqueiam por padrão, por que o anycast complica o 'mais próximo', e a troca que ninguém enuncia: o resolvedor que protege você também vê tudo que você pergunta.
FortiGate como servidor DNS: quatro modos, e onde o filtro se aplica	Redes	Um FortiGate pode retransmitir DNS, responder da própria base ou resolver desde a raiz. Os quatro modos se comportam de formas diferentes sob falha, e o perfil de filtro de DNS não se aplica a todos eles - que é a configuração que parece protegida e não está.

Segurança e WAF (56)

Artigo	Tema	Resumo
Cabeçalhos de Segurança HTTP: a Camada de Defesa em Profundidade	Segurança e WAF	O que são os cabeçalhos de segurança HTTP, por que formam uma camada de defesa sobre o código seguro em vez de substituí-lo, quais cabeçalhos têm mais peso e como ler a postura de uma resposta rapidamente.
Quantificadores e Classes de Caracteres em Regex	Segurança e WAFWeb e HTTP	Uma expressão regular é construída a partir de duas perguntas: qual caractere eu quero e quantos deles? As classes de caracteres respondem à primeira, os quantificadores respondem à segunda. Acerte essas duas e a maior parte das regex se encaixa.
SAML 2.0: Como Funciona o SSO no Navegador	Segurança e WAFIdentidade e tokens	O que é uma asserção SAML, os papéis do provedor de identidade e do provedor de serviço, o fluxo de Web Browser SSO (login único, do inglês single sign-on) iniciado pelo SP de ponta a ponta, e a diferença entre os bindings HTTP-POST e HTTP-Redirect que transportam as mensagens.
Content Security Policy, Diretiva por Diretiva	Segurança e WAF	Como a CSP funciona como controle contra cross-site scripting e injeção: a forma de uma política, por que default-src importa, o que 'unsafe-inline' e 'unsafe-eval' entregam, como nonces e hashes permitem código inline específico com segurança e para que serve o modo report-only.
Dentro de uma Asserção SAML: Sujeito, Condições e Audiência	Segurança e WAFIdentidade e tokens	A anatomia de uma asserção SAML: o Subject e os formatos de NameID, a SubjectConfirmation do tipo bearer e as verificações de NotOnOrAfter / Recipient / InResponseTo, a janela de validade das Conditions, a AudienceRestriction e o AuthnStatement, com a validação que um provedor de serviço deve fazer em cada uma.
Grupos, Retrorreferências e Lookarounds em Regex	Segurança e WAFWeb e HTTP	Os parênteses fazem muito mais do que definir precedência em uma regex. Eles capturam texto para você reutilizar, nomeiam as partes que importam e — com um prefixo de interrogação — permitem afirmar o que vem antes ou depois sem consumir.
Assinaturas SAML e XML-DSig	Segurança e WAFIdentidade e tokens	Como uma mensagem SAML é assinada com XML Signature: o ds:Signature envelopado, os algoritmos SignatureMethod e DigestMethod, por que o SHA-1 é fraco, a diferença entre assinar a Response e assinar a Assertion, e como funcionam os ataques de signature wrapping em XML.
Backtracking Catastrófico e ReDoS	Segurança e WAFWeb e HTTP	Alguns padrões de aparência inocente podem levar segundos, minutos ou praticamente uma eternidade em uma string curta. A causa é o backtracking catastrófico, e quando um atacante controla a entrada ele vira uma falha de negação de serviço. Eis por que acontece e como escrever padrões que não podem travar.
HSTS e a Exigência de HTTPS	Segurança e WAF	Como o Strict-Transport-Security fecha a janela de downgrade para HTTP, o que max-age, includeSubDomains e preload fazem, a brecha de confiança no primeiro uso que o preload remove e os erros de configuração que silenciosamente o desativam.
Âncoras e limites em regex	Segurança e WAFWeb e HTTP	Âncoras casam uma posição, não um caractere: o início ou o fim da string, ou a borda de uma palavra. São a diferença entre um padrão que casa em qualquer lugar e um que casa só onde você quer. Este artigo cobre ^, $, \b e seu comportamento em modo multilinha, além dos erros que causam.
Flags de Segurança de Cookies	Segurança e WAF	Como Secure, HttpOnly e SameSite protegem os cookies de sessão, o que cada valor de SameSite significa, por que SameSite=None exige Secure e como os prefixos __Host- e __Secure- impõem essas garantias no nível do navegador.
XXE e Por Que um Parser SAML Rejeita DOCTYPE	Segurança e WAFIdentidade e tokens	Como funcionam os ataques de Entidade Externa de XML (XXE), a negação de serviço billion laughs, por que ambos dependem de uma DTD, e por que um decodificador SAML reforçado rejeita qualquer DOCTYPE ou declaração de entidade de imediato em vez de tentar interpretá-lo com segurança.
Bindings SAML e iniciação por SP vs IdP	Segurança e WAFIdentidade e tokens	Um fluxo SAML pode começar no serviço ou no provedor de identidade, e as mensagens podem viajar por dois bindings diferentes: um redirect HTTP com a mensagem compactada na URL, ou um formulário HTML de auto-submit que a envia por POST. Qual binding carrega qual mensagem, e onde o fluxo começa, explica muito do comportamento do SSO.
Clickjacking e Controle de Enquadramento	Segurança e WAF	O que é clickjacking, como o enquadramento o torna possível, a diferença entre o cabeçalho legado X-Frame-Options e a diretiva moderna CSP frame-ancestors, por que ALLOW-FROM é obsoleto e como os dois controles interagem.
Flags e modos em regex	Segurança e WAFWeb e HTTP	Uma flag muda como o padrão inteiro casa: sensibilidade a maiúsculas, se ^ e $ enxergam linhas, se o ponto cruza quebras de linha e se o espaço em branco no padrão é ignorado. O mesmo regex pode casar coisas completamente diferentes dependendo de suas flags, então conhecê-las evita muita confusão.
O SAML Proxy: Inserindo uma Camada de Identidade numa Sessão	Segurança e WAFIdentidade e tokens	Um SAML proxy fica no fluxo de SSO em vez do caminho dos pacotes: ele termina a requisição do usuário, força a autenticação contra um provedor de identidade, e só então deixa a sessão passar, usando o modelo de redirecionamento por navegador do SAML. Ele pode agir como provedor de serviço para o IdP e provedor de identidade para a aplicação ao mesmo tempo (um proxy ou broker), que é como um único login federa muitos sistemas downstream. Este artigo explica os papéis, o fluxo, e por que ele é um proxy afinal.
Lendo OGNL num log de WAF: o que a carga pretendia fazer	Segurança e WAFWeb e HTTPCodificação e dados	Uma carga OGNL num log tem duas metades que vale distinguir: algo que tenta desligar o sandbox de expressões e algo que tenta executar um comando. Com as duas, é tentativa de exploração. Só com a segunda, normalmente é um scanner percorrendo uma lista. Sem nenhuma das duas, é sondagem verificando se a entrada é avaliada - e essa resposta decide se qualquer outra coisa da lista teria chance.
XXE e entidades externas	Segurança e WAF	XML permite que um documento declare entidades, e uma entidade externa pode apontar para um arquivo ou URL. Um parser que resolve uma pode ser enganado a ler arquivos locais ou fazer requisições no lado do servidor, a vulnerabilidade XXE. A correção é direta e eficaz: não processar um DOCTYPE de forma alguma.
Billion laughs e expansão de entidades	Segurança e WAF	Entidades podem referenciar outras entidades, e se cada uma multiplica a anterior, um documento minúsculo pode expandir para gigabytes e exaurir a memória. O ataque billion laughs transforma isso em uma negação de serviço. A defesa é limitar a expansão ou recusar o DOCTYPE de imediato.
Como Funciona a Pontuação CVSS	Segurança e WAF	O CVSS transforma uma string de vetor curta em um número de severidade de 0 a 10 usando uma fórmula fixa. A pontuação Base é construída a partir de duas subpontuações: Explorabilidade (quão acessível e fácil é a falha) e Impacto (quão grave é o resultado). Todo o resto refina essa base. Isso é aritmética, não opinião, e por isso uma calculadora reproduz exatamente qualquer pontuação publicada.
As Métricas Base do CVSS, Explicadas	Segurança e WAF	A pontuação Base vem de oito métricas em duas famílias. Quatro métricas de explorabilidade (Vetor de Ataque, Complexidade do Ataque, Privilégios Necessários, Interação do Usuário) descrevem quão difícil é o ataque, e quatro métricas de impacto (Escopo, mais Confidencialidade, Integridade e Disponibilidade) descrevem o dano. O Escopo é a sutil: é o que permite que uma pontuação ultrapasse a fronteira do próprio componente vulnerável.
Pontuações Temporal e Ambiental do CVSS	Segurança e WAF	A pontuação Base é apenas o ponto de partida. As métricas Temporais a reduzem conforme os fatos surgem, como o lançamento de um patch, e só podem diminuir a pontuação. As métricas Ambientais permitem que uma organização recalcule a falha para seus próprios sistemas, elevando ou reduzindo a importância de confidencialidade, integridade e disponibilidade e sobrescrevendo métricas base. Ambas são opcionais, mas produzem um número mais honesto.
Lendo uma String de Vetor CVSS	Segurança e WAF	Um vetor CVSS é uma string compacta e autodescritiva: um prefixo de versão seguido de pares métrica:valor separados por barras. Aprender a lê-la diretamente, em vez de confiar em uma pontuação renderizada, permite detectar erros de transcrição e entender exatamente o que um fornecedor afirmou. As métricas Base são obrigatórias e o resto é opcional.
Faixas de Severidade do CVSS, e o Que a Pontuação Não Diz	Segurança e WAF	O número de 0 a 10 é mapeado para cinco faixas qualitativas, de Nenhuma a Crítica. Esse mapeamento é útil para triagem, mas uma pontuação Base do CVSS mede severidade, não risco. Ela não diz nada sobre uma falha estar sendo explorada, quão valioso é o ativo, ou quais controles você tem. Tratar o número base como uma fila de prioridade é a forma mais comum de as equipes usarem mal o CVSS.
CVSS v3.0, v3.1 e v4.0: O Que Mudou	Segurança e WAF	Este decodificador calcula CVSS v3.0 e v3.1. As duas versões v3 compartilham uma fórmula mas diferem no arredondamento e em um termo ambiental, então as pontuações podem diferir em um décimo. O CVSS v4.0, lançado em 2023, é um redesenho maior, com novos grupos de métricas e sem a métrica Escopo, e seus vetores não são compatíveis com ferramentas v3. O CVSS v2 está descontinuado.
Fingerprinting TLS Passivo: JA3, GREASE, e o Churn que Levou ao JA4	Segurança e WAF	Um ClientHello anuncia o cliente às claras, e a combinação de versões, ciphers, e extensões é característica do software que o enviou. Isto cobre como o JA3 transforma isso em um hash, por que o GREASE precisa ser removido, como a randomização da ordem das extensões quebrou o JA3 (o churn), como o JA3N e o JA4 restauram a estabilidade, e onde um fingerprint TLS se encaixa como sinal para secure web gateways e autenticação adaptativa.
O Que É Server-Side Request Forgery (SSRF)	Segurança e WAF	SSRF é uma vulnerabilidade em que um atacante faz o servidor emitir uma requisição HTTP para um destino escolhido por ele. Como a requisição parte de dentro da rede do servidor, ela alcança serviços internos, metadados de nuvem e endereços de loopback que o atacante jamais alcançaria diretamente. A correção é validar o destino, não o texto da URL.
Faixas de IP Privadas, Reservadas e Públicas	Segurança e WAF	Um filtro de SSRF precisa saber quais endereços são internos. Este é o mapa: espaço privado RFC 1918, loopback, link-local, NAT de operadora, as faixas de documentação e todo o resto que é público e roteável. Conhecer as faixas é o que transforma um endereço bruto em uma decisão de seguro-ou-não.
Truques de Ofuscação de Endereço IP	Segurança e WAF	Um endereço IP pode ser escrito de muitas formas: decimal simples, octal, hexadecimal, forma abreviada e IPv6 mapeado em IPv4. Cada forma volta a apontar para o mesmo endereço, e é assim que atacantes passam um alvo interno por um filtro que só bloqueia a grafia decimal pontuada. Por isso verificações de SSRF precisam decodificar, não comparar texto.
Endpoints de Metadados de Nuvem e SSRF	Segurança e WAF	Toda nuvem grande dá a uma instância um serviço de metadados em um endereço link-local fixo, e ele pode devolver credenciais temporárias do papel da instância. Isso o torna o alvo de SSRF de maior valor. Conhecer os endpoints, e as defesas no estilo IMDSv2, é essencial tanto para entender o ataque quanto para a defesa.
Defendendo-se de SSRF com Allow-Lists	Segurança e WAF	A defesa durável contra SSRF é uma allow-list de destinos pretendidos, combinada com resolver o endereço antes de confiar nele e reverificar após redirecionamentos. Block-lists de faixas internas ajudam, mas perdem para ofuscação e DNS rebinding. Esta é a abordagem em camadas que se sustenta.
Esquemas de URL Perigosos em SSRF	Segurança e WAF	SSRF não se limita a http. Esquemas como file, gopher, dict e ftp permitem a um atacante ler arquivos locais ou forjar bytes brutos para serviços internos como Redis e SMTP. Um buscador de URL que não restringe o esquema entrega ao atacante uma primitiva muito mais poderosa do que uma simples requisição web.
SSL Forward Proxy: Como Funciona a Interceptação de TLS de Saída e o Que a Quebra	Segurança e WAFCertificados e PKITLS e transporte	Para inspecionar tráfego de saída criptografado, um forward proxy realiza um man-in-the-middle controlado: ele termina a sessão TLS do usuário, abre a sua própria para o servidor real, e forja um certificado para aquele servidor assinado por uma CA privada em que os próprios dispositivos da organização confiam. Este artigo explica a mecânica, o modelo de confiança que o torna seguro (e perigoso), e por que pinning, HSTS e TLS mútuo o derrotam.
A LGPD para engenheiros: o vocabulário que importa	Segurança e WAF	A lei brasileira de proteção de dados atribui um papel a você, oferece dez bases legais em vez de uma e coloca um relógio de três dias úteis na comunicação de incidentes. O que controlador, operador e encarregado significam quando é você quem opera os sistemas.
Fingerprinting passivo: o que você emite sem que perguntem	Segurança e WAFRedes	Toda conexão anuncia sua pilha antes de um byte de dados de aplicação fluir. Como um SYN TCP, uma string de User-Agent e a mera ordem dos cabeçalhos HTTP identificam um cliente - e por que a contradição entre eles é o indício clássico de proxy e bot.
Arquitetura de três camadas da Check Point: gerência, gateway e SmartConsole	Segurança e WAF	A Check Point separa o lugar onde a política é escrita do lugar onde ela é aplicada, e essa divisão explica quase todo o resto da plataforma: por que se instala a política em vez de apenas salvá-la, por que o SIC existe, e por que um gateway continua funcionando com o servidor de gerência fora do ar.
Administradores, sessões e objetos na Check Point: publicar não é instalar	Segurança e WAF	A Check Point dá a cada administrador uma sessão de trabalho privada, então suas mudanças ficam invisíveis para os colegas até você publicar, e inertes no gateway até você instalar. São duas ações separadas e confundi-las é o erro inicial mais comum na plataforma.
Registro e monitoramento na Check Point: para onde vão os logs e como fazer perguntas a eles	Segurança e WAF	Um log só existe se uma regra foi configurada para criá-lo, e só sobrevive se havia um servidor de logs para recebê-lo. Uma vez que os dois sejam verdade, a visão Logs and Monitor é uma interface de consulta, e não uma lista, e aprender a fazer perguntas a ela é a diferença entre achar uma resposta em segundos e rolar a tela.
Identity Awareness na Check Point: escrever regras sobre pessoas em vez de endereços	Segurança e WAF	O Identity Awareness permite que uma regra diga quem, e não onde. O gateway precisa aprender o mapeamento usuário-endereço de algum lugar, e a fonte escolhida decide com que rapidez as identidades aparecem, quão precisas permanecem, e o que acontece quando alguém troca de mesa.
HTTPS Inspection, Application Control e URL Filtering na Check Point	Segurança e WAF	A maior parte do tráfego é criptografada, então os controles que decidem quais aplicações e sites são permitidos só conseguem ver o que o handshake revela, salvo se o gateway descriptografar. O HTTPS Inspection é o que faz o resto funcionar por completo, e é também o recurso com maior probabilidade de quebrar algo no dia em que você o habilita.
Prevenção de ameaças na Check Point: os blades, os perfis, e prevenir contra detectar	Segurança e WAF	A prevenção de ameaças são vários motores sob uma política, cada um pegando uma etapa diferente de um ataque. A configuração que mais importa não é quais motores estão ligados, e sim se cada um está prevenindo ou apenas detectando, porque essa única escolha decide se você tem proteção ou um relatório.
Alta disponibilidade de gerência na Check Point: ativo, standby, e por que o failover é manual	Segurança e WAF	Um segundo servidor de gerência protege o banco de dados, e não o tráfego. Os gateways continuam aplicando a política aconteça o que acontecer com a gerência, então o que você está comprando é a capacidade de continuar mudando a política — e o estado de sincronização é o que diz se você de fato a tem.
VPN site a site na Check Point: comunidades, domínios de criptografia, e por que o túnel está vazio	Segurança e WAF	Uma VPN Check Point é construída a partir de comunidades, e não de definições individuais de túnel, e é isso que torna muitos sites administráveis. A falha recorrente não é o túnel não estabelecer, e sim ele estabelecer e não carregar nada, e isso quase sempre remete ao domínio de criptografia ou ao NAT.
SmartEvent e o Compliance Blade na Check Point: transformar logs em eventos que valem ser lidos	Segurança e WAF	O SmartEvent correlaciona logs em eventos para que cem entradas relacionadas virem uma coisa sobre a qual uma pessoa age. O Compliance Blade audita a própria configuração contra boas práticas. Os dois só são úteis na medida do ajuste, e um SmartEvent sem ajuste é um segundo lugar para ignorar alertas.
Atualizações e migrações na Check Point: ordem, compatibilidade, e tirar o banco de dados de lá	Segurança e WAF	A ordem de atualização não é preferência: a gerência vem primeiro, porque um servidor de gerência consegue gerenciar gateways mais antigos e um servidor mais antigo não consegue gerenciar gateways mais novos. Migração é operação diferente de atualização, e o que se move é o banco de dados, e não a máquina.
ElasticXL na Check Point: um objeto de cluster, muitos membros	Segurança e WAF	O ElasticXL é a abordagem mais recente de cluster da Check Point, construída para que um cluster seja configurado e gerenciado como uma entidade única, e não como membros que cada um exige atenção. O argumento operacional é que acrescentar capacidade não deveria significar repetir configuração.
Como um Proxy Sabe Quem Você É: Métodos de Autenticação de Usuário Inline	Segurança e WAF	Política por usuário é a promessa inteira de um proxy inline - o que significa que o proxy precisa prender uma identidade a cada fluxo, inclusive aos que não conseguem fazer login. Os quatro padrões que funcionam: desafios explícitos 407, autenticação web por cookie, identidade afirmada por agente, e o compromisso do surrogate IP - mais onde cada um quebra, porque todos eles quebram em algum lugar.
Data Loss Prevention: Como Máquinas Reconhecem Segredos	Segurança e WAF	Todo produto de DLP responde à mesma pergunta - este conteúdo de saída é sensível? - com os mesmos quatro instrumentos: padrões, dicionários, correspondência exata contra registros com fingerprint e correspondência de documentos indexados. O que cada instrumento consegue e não consegue reconhecer, por que existem confiança e proximidade, e por que a parte difícil do DLP nunca foi a correspondência.
Detonação em Sandbox: Julgando um Arquivo pelo Que Ele Faz	Segurança e WAF	Assinaturas reconhecem malware que já foi visto; um sandbox condena malware que não foi - executando o arquivo numa jaula instrumentada e observando seu comportamento. O que a detonação realmente observa, por que vereditos levam minutos, a janela de paciente-zero que o tempo cria, como o compartilhamento de hashes transforma um veredito na proteção de todos, e a corrida armamentista de evasão que mantém os construtores de jaulas empregados.
Isolamento de Navegador: Quando Não Dá para Confiar na Página, Mova o Navegador	Segurança e WAF	O Remote Browser Isolation para de perguntar se uma página é segura e remove a pergunta: o navegador real roda num contêiner descartável na nuvem, e o endpoint recebe apenas uma projeção renderizada - pixels ou um DOM reconstruído. O que cada modo de renderização troca, por que isolamento é a resposta para o meio incategorizável, o que custa, e onde ficam seus limites honestos.
CORS Explicado: O Controle de Fronteira do Navegador	Segurança e WAFWeb e HTTP	CORS é a mensagem de erro mais mal-entendida do desenvolvimento web, porque pune o modelo mental errado. Ele não é o muro - a same-origin policy é o muro; CORS é a porta: um protocolo de cabeçalhos pelo qual um servidor se oferece: 'aquela outra origem pode ler minhas respostas'. Requisições simples vs preflights, o que o OPTIONS está fazendo na sua aba de rede, por que credenciais apertam cada regra, por que '*' não é o conserto, e por que o CORS nunca protegeu o servidor, para começo de conversa.
Filtros de busca LDAP: lendo os parênteses	Segurança e WAFIdentidade e tokens	Toda consulta a diretório - PingDirectory, Active Directory, qualquer servidor LDAP - se resume a uma string de filtro em notação prefixada. Como lê-la: os operadores, os seis tipos de correspondência, os escapes, os famosos OIDs de bit-filter do AD, e por que um filtro sem índice pode derrubar um diretório.
Fluxos OAuth: escolhendo o grant em 2026	Segurança e WAFIdentidade e tokens	Uma decisão inicia toda integração: qual fluxo. A resposta moderna é curta - authorization code + PKCE para humanos, client credentials para máquinas, device grant para TVs - e as razões pelas quais implicit e ROPC morreram valem saber de cor. A RFC 9700 finalmente escreveu tudo isso.
Segurança de memória: as classes de bug e as defesas que respondem a elas	Segurança e WAF	Estouro de buffer, use-after-free, desreferência de ponteiro nulo, estouro de inteiro - quatro nomes para duas falhas, ficar dentro de um objeto e só tocá-lo enquanto está vivo. Como cada uma funciona, por que cerca de setenta por cento das vulnerabilidades sérias em grandes bases de código C e C++ pertencem a esta família, e o que cada camada defensiva de fato compra.
Tor: como o roteamento em cebola realmente funciona, e o que ele não protege	Segurança e WAF	O roteamento em cebola foi inventado num laboratório da Marinha dos EUA, e esse paradoxo é a chave para entendê-lo: anonimato só funciona se a multidão for diversa. Como um circuito de três saltos é construído, o que são de fato os serviços onion, o modelo de ameaças que o Tor admite abertamente perder, e por que a maior parte do tráfego Tor nunca toca a dark web.
Listas de bloqueio DNS: RPZ, classificação e o custo de uma resposta recusada	Segurança e WAF	Bloquear um domínio no resolvedor é o controle de segurança mais barato que existe, e por isso todo fabricante vende um. Como funcionam os feeds RPZ, o que uma classificação de DNS de fabricante realmente classifica, os dois modos de falha que ninguém prevê, e por que o bloqueio que não se vê é pior que o visível.

Texto e utilitários (1)

O alfabeto grego: o segundo alfabeto da engenharia
Por que Ω significa ohm, μ significa micro e λ comanda tanto comprimentos de onda quanto funções serverless. As 24 letras, a regra do sigma final e as pegadinhas de transliteração entre o grego moderno e o clássico que silenciosamente renomeiam beta e eta.
Texto e utilitáriosLer

Artigo	Tema	Resumo
O alfabeto grego: o segundo alfabeto da engenharia	Texto e utilitários	Por que Ω significa ohm, μ significa micro e λ comanda tanto comprimentos de onda quanto funções serverless. As 24 letras, a regra do sigma final e as pegadinhas de transliteração entre o grego moderno e o clássico que silenciosamente renomeiam beta e eta.

TLS e transporte (12)

Artigo	Tema	Resumo
Anatomia de uma suíte de cifra TLS	TLS e transporte	O que uma suíte de cifra TLS realmente nomeia, como ler uma suíte como TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 parte por parte, e como o mesmo ponto de código de dois bytes aparece sob três convenções de nomes diferentes.
Lendo nomes de suítes de cifra: IANA, OpenSSL e GnuTLS	TLS e transporte	Por que a mesma suíte de cifra tem três nomes diferentes e um ponto de código de dois bytes, como traduzir entre as convenções da IANA, do OpenSSL e do GnuTLS, e o que a coluna Recommended da IANA, com Y, N e D, realmente significa.
AEAD vs CBC: por que o modo importa	TLS e transporte	A diferença prática entre uma cifra AEAD como o AES-GCM e uma cifra CBC mais antiga com um HMAC separado, os ataques de oráculo de preenchimento que mataram o MAC-then-encrypt, e a única troca que o AEAD ainda pede.
Sigilo de encaminhamento e a troca de chaves	TLS e transporte	O que o sigilo de encaminhamento garante, por que o transporte de chave RSA estático não o oferece, como ECDHE e DHE oferecem, e por que autenticação e troca de chaves são duas tarefas distintas que o nome de uma suíte mantém separadas.
Suítes de cifra do TLS 1.3: o que mudou	TLS e transporte	Por que uma suíte de TLS 1.3 nomeia apenas uma cifra e um hash, para onde foram a troca de chaves e a autenticação, e por que a lista de suítes encolheu de centenas para um punhado.
O Que um Computador Quântico Quebraria, e o Que Não Quebraria	TLS e transporte	Um computador quântico grande não enfraqueceria toda a criptografia por igual. O algoritmo de Shor quebra por completo a matemática de chave pública por trás de RSA, Diffie-Hellman e curvas elípticas; o algoritmo de Grover apenas reduz pela metade a força de cifras simétricas e hashes, o que AES-256 e SHA-384 já suportam. Este artigo explica a divisão, por que 'colher agora, decifrar depois' torna isso um problema de hoje, e por que um candidato quebrado como o SIKE é um lembrete de humildade.
Os Padrões Pós-Quânticos do NIST: ML-KEM, ML-DSA e SLH-DSA	TLS e transporte	Em agosto de 2024 o NIST finalizou os três primeiros padrões pós-quânticos: FIPS 203 (ML-KEM, do Kyber) para estabelecimento de chaves, e FIPS 204 (ML-DSA, do Dilithium) e FIPS 205 (SLH-DSA, do SPHINCS+) para assinaturas. Este artigo explica para que serve cada um, por que há dois padrões de assinatura sobre matemáticas diferentes, e onde o HQC e o FN-DSA entram como reservas ainda a caminho.
Troca de Chaves Híbrida no TLS 1.3: O Que o X25519MLKEM768 Faz no Fio	TLS e transporte	A web não trocou a troca de chaves clássica pela pós-quântica; ela roda as duas ao mesmo tempo. O X25519MLKEM768 combina uma curva elíptica dos anos 1990 com o ML-KEM-768 baseado em reticulado num único grupo do TLS 1.3, de modo que a quebra de qualquer um ainda deixa a sessão segura. Este artigo cobre por que híbrido em vez de substituição, o formato no fio e seu problema de tamanho, e onde está a implantação entre navegadores, servidores e os middleboxes que ele quebra.
TLS de Entrada: Offload, Bridging e Passthrough no Reverse Proxy	TLS e transporteCertificados e PKI	Um reverse proxy que trata HTTPS de entrada tem três escolhas para a sessão TLS: terminá-la e enviar texto claro ao backend (offload), terminar e recriptografar até o backend (bridging), ou encaminhar os bytes criptografados intocados (passthrough). Cada uma equilibra visibilidade contra confidencialidade e custo de forma diferente. Este artigo explica as três, por que o proxy detém o certificado do servidor, e o que o SNI e o TLS mútuo mudam.
TLS 1.2 vs TLS 1.3 vs DTLS vs QUIC: Uma Família de Handshake, Quatro Formas	TLS e transporte	TLS 1.2 e TLS 1.3 protegem um fluxo TCP, o DTLS leva as mesmas garantias para datagramas, e o QUIC absorveu o handshake do TLS 1.3 para dentro do próprio transporte. O que é cada um, qual RFC o define hoje, o que de fato mudou entre eles e onde cada um roda.
O que é um fingerprint TLS JA4?	TLS e transporteSegurança e WAF	Como um ClientHello TLS vira uma impressão digital estável do software cliente, por que o JA3 perdeu força quando os navegadores passaram a embaralhar a ordem das extensões, como o JA4 resolve isso ordenando antes de fazer o hash, e o que o JA4 pode e não pode dizer.
Por Que Dizemos SSL Quando Queremos Dizer TLS?	TLS e transporte	O SSL foi proibido, descontinuado e está morto há anos - e a indústria ainda vende 'certificados SSL', configura 'inspeção SSL' e linka o openssl. A história explica o hábito: o SSL da Netscape, a renomeação política para TLS em 1999 (o campo de versão no fio ainda dizia 3.1), e um quarto de século de inércia de marketing. Mais a reflexão que a pergunta merece: como seria um nome independente de protocolo, e algum já existe?

Conceitos de redes e segurança, explicados com clareza.

Certificados e PKI (14)

Anatomia de um Certificado X.509

PEM, DER e os formatos de arquivo de certificado

Requisições de assinatura de certificado e como certificados são emitidos

Como a validação de certificados de fato funciona

Revogação de certificados: CRL, OCSP e certificados de vida curta

Authority Information Access: As URLs de OCSP e CA Issuers

OCSP Must-Staple: Fechando a Brecha do Soft-Fail

A era dos 47 dias: como os tempos de vida dos certificados TLS estão encolhendo

ACME: como os certificados se emitem e se renovam sozinhos

Janelas de validade: notBefore, notAfter e a antecedência da renovação

Let's Encrypt: a CA gratuita e seus limites de emissão

Reutilização de DCV e SII: a cadência de validação por trás da renovação

Renovar antes da expiração: antecedência, ACME e ARI

PKI pública e privada: quais certificados a SC-081v3 governa

Codificação e dados (42)

A Anatomia de uma URL

A Gramática JSON: Seis Tipos e Algumas Regras Estritas

Bytes, pontos de código e UTF-8

JSON vs YAML: O Que Converte Limpo e o Que Não Converte

O Que o Tempo Unix Realmente É

Base64 e Base64URL, explicados

Coerção de Tipos no YAML e o Problema da Noruega

Números JSON e a Armadilha da Precisão

Query Strings: Parâmetros, Sinais de Mais e Chaves Repetidas

Segundos, Milissegundos, Microssegundos, Nanossegundos: Distinguindo Unidades de Época

Base64URL e o alfabeto seguro para URLs

Chaves Duplicadas em JSON: Legais, Perigosas e Dignas de Detecção

Codificação de URL e Hosts Internacionalizados

JSON e YAML na Prática: APIs, Declarações e Orquestração

O Problema do Ano 2038

Âncoras, aliases e merge keys em YAML

Escapes de string e Unicode em JSON

ISO 8601, RFC 3339 e a Data HTTP

Onde o Base64 aparece: data URIs, MIME, PEM e Basic auth

Base32, explicado

Block scalars e strings multilinha em YAML

Por Que o Tempo Unix Ignora os Segundos Bissextos

Vírgulas finais, comentários e a família JSON5

Codificação hexadecimal (Base16), explicada

Formatação, minificação e JSON canônico

Números romanos: como o sistema realmente funciona

URLs relativas e como elas resolvem

Aritmética de tempo e fusos horários: durações exatas, reuniões honestas

Codificação por porcentagem (codificação de URL), explicada

URLs enganosas: lendo além dos truques

Base16, Base32, Base64 e codificação por porcentagem comparadas

Como funciona o diff de texto

Como ler um diff

Diffs em nível de palavra e de caractere

Diffs de três vias e conflitos de merge

Edições mínimas: por que um diff pode parecer errado

Lendo a estrutura do XML

Namespaces XML explicados

XML bem formado vs válido

CDATA, comentários e instruções de processamento

Formulários HTML e Codificação de Requisições: Como a Web Despacha Sua Entrada

URI, URL, URN: Qual É Mesmo a Diferença?

Hashing e cripto (15)

Hash, criptografia e codificação: três coisas diferentes

Hash criptográfico: SHA-256 e a família SHA-2

Escolhendo um hash: MD5, SHA-1, SHA-2, SHA-3 e BLAKE

Colisões, resistência à pré-imagem e o limite do aniversário

Armazenando senhas: bcrypt, scrypt e Argon2

HMAC: hash com chave para autenticação de mensagens

Por que HMAC, e não hash(chave + mensagem)

Autenticando requisições de API com HMAC

Verificando um HMAC com segurança: tempo constante e repetição

Por Que Hashes Criptográficos São de Mão Única

Força Bruta vs Tabelas de Consulta: Duas Formas de Reverter um Hash

Por Que o Salt Derrota Tabelas Pré-computadas

KDFs Lentas: bcrypt, scrypt e Argon2

Espaço de Chaves, Entropia e Tempo de Quebra

Escolhendo um Hash de Senha

Identidade e tokens (39)

Anatomia de um JSON Web Token

JWKS e Rotação de Chaves: Como os Provedores Publicam suas Chaves

OpenID Connect: Uma Camada de Identidade sobre o OAuth 2.0

Algoritmos de assinatura de JWT: HMAC, RSA e ECDSA