Como usar este guia
O conteúdo foi revisado em setembro de 2026 com foco operacional. Procedimentos sensíveis devem ser testados primeiro em laboratório, com backup, acesso de recuperação e rollback documentado. Exemplos usam placeholders e não devem receber credenciais reais.
Não exponha interfaces administrativas, chaves, dumps, amostras de malware ou logs sensíveis no portal público. Em produção, aplique segmentação, privilégio mínimo e retenção definida.
Princípios
Criptografia protege confidencialidade, integridade e autenticidade quando protocolos, chaves e validação são corretos. Algoritmo forte não compensa chave exposta.
TLS
Prefira TLS 1.3/1.2 conforme compatibilidade e política, certificados válidos e hostname correto. Monitore expiração e cadeia completa.
PKI
Separe CA raiz/offline quando o risco justificar, use intermediária, defina validade e revogação. Backups de chaves privadas exigem criptografia e controle de acesso.
SSH
Prefira Ed25519 quando suportado e políticas atuais. Proteja private keys com permissões e passphrase; rotacione em desligamento/comprometimento.
Hashing
Para senhas use KDF apropriada (Argon2id/bcrypt/scrypt conforme plataforma), nunca hash rápido puro como SHA-256. Para integridade de arquivos, SHA-256/512 continua apropriado.
Cripto-agilidade
Mantenha inventário de certificados/chaves/algoritmos para permitir troca futura. Evite dependência invisível de protocolos obsoletos.
Checklist antes de considerar concluído
- Versão e documentação do componente foram confirmadas.
- Fluxos de rede e privilégios necessários estão explicitamente definidos.
- Configuração foi validada antes de reload/restart quando houver comando de teste.
- Logs e métricas confirmam o comportamento esperado.
- Falha controlada e recuperação foram testadas em ambiente seguro.
- Backup, rollback e acesso de emergência são verificáveis.