Competências avaliadas

• DevSecOps e shift-left — o que muda quando segurança entra no desenvolvimento
• S-SDLC — ciclo de desenvolvimento seguro versus ciclo tradicional
• O papel do desenvolvedor na segurança — o que é esperado e o que não é
• OWASP Top 10 Web — as 10 categorias, o que cada uma representa e por que importa
• Broken Access Control e IDOR — reconhecer o problema antes de escrever o código
• Injection — SQL, comando e LDAP — como o input se torna ataque
• XSS e falhas de renderização — onde o output vira vetor
• Autenticação quebrada e gestão de sessão — o que configura uma falha
• Exposição de dados sensíveis e falhas de criptografia — o que não pode ir para produção
• SSRF, IDOR e as demais categorias do Top 10 — reconhecimento e impacto
• OWASP Top 10 API Security — o que as APIs expõem a mais que o web tradicional
• BOLA e autorização em nível de objeto — a falha mais comum em APIs
• CWE — o que são falhas de software e as mais críticas (injection, buffer overflow, XSS, use-after-free)
• Secure coding básico — validação de input, output encoding e autenticação
• Gerenciamento seguro de sessão e uso correto de criptografia
• Secrets e credenciais — o que não pode estar em código e onde costumam vazar
• Secrets sprawl — histórico de git, variáveis de ambiente e arquivos de configuração
• Supply chain de software — dependências de terceiros, CVE em biblioteca e o que é SCA
• IA e código — como copilots introduzem vulnerabilidades e como revisar o output
• Reconhecer código gerado por IA — padrões inseguros comuns e o que questionar