Um punhado de sinalizadores do curl muda a postura de segurança de uma requisição, e vale reconhecê-los de imediato.
-k / --insecure desativa a verificação do certificado TLS. A conexão continua criptografada, mas o curl não verifica mais que o certificado pertence ao host, o que remove a proteção contra um man-in-the-middle. É comum em testes rápidos contra certificados autoassinados e arriscado em qualquer outro lugar.
Usar http:// em vez de https:// envia tudo, incluindo cabeçalhos e quaisquer credenciais, em texto puro pela rede.
Credenciais embutidas na URL como usuário:senha@host podem vazar no histórico do shell, em logs do servidor e em cabeçalhos referer, então um cabeçalho ou -u é mais seguro.
Nenhum desses torna uma requisição maliciosa por si só, mas cada um é um sinal. Um bom tradutor os expõe como avisos em vez de carregá-los silenciosamente, para que você decida com o risco à frente.
O que conferir antes de colar o comando de outra pessoa
Um comando curl vindo de um chamado ou de um artigo de fabricante é código executável que outra pessoa escreveu. Antes de rodá-lo contra o seu próprio sistema, leia três coisas: para onde ele manda credenciais, se ele desliga a verificação e o que ele grava em disco.
As flags perigosas não são obscuras. Qualquer coisa que desligue a checagem de certificado torna o transporte não confiável, e um comando escrito para contornar o certificado autoassinado de um laboratório carrega esse enfraquecimento para produção sem alteração.