A segurança client-side foca em proteger as aplicações web onde elas são executadas: no navegador do usuário. Isso inclui proteger a execução de JavaScript, evitar o roubo de dados, defender contra ataques de XSS e garantir o carregamento seguro de recursos. Abrange desde a validação de entradas até práticas de armazenamento seguro e a implementação correta de cabeçalhos de segurança. À medida que as aplicações web ficam mais complexas e processam mais dados sensíveis no navegador, a segurança client-side importa mais do que nunca.
A segurança do lado do cliente protege a parte de uma aplicação web que é executada no navegador do usuário: o HTML, o JavaScript e os scripts de terceiros que são executados depois que a página carrega. Ela complementa a segurança do servidor e da rede, que não consegue ver o que acontece assim que o código chega ao navegador. A disciplina abrange a integridade dos scripts, a proteção da inserção de dados e o monitoramento de tudo o que a página executa no dispositivo real de um usuário.
Durante anos, a segurança se concentrou no servidor e no perímetro da rede. Mas os ataques se deslocaram para onde os dados são inseridos: o navegador. O skimming Magecart, o formjacking, as extensões de navegador maliciosas e os scripts de terceiros comprometidos operam todos do lado do cliente, fora do alcance dos firewalls e dos logs do servidor. A regulamentação acompanhou, e a PCI DSS 4.0 agora exige explicitamente que os comerciantes gerenciem e monitorem os scripts executados nas páginas de pagamento.
A cside analisa os serviços de terceiros dos quais suas páginas dependem, a partir da própria sessão do visitante. Ela analisa o código real de cada script em tempo real, bloqueia o comportamento malicioso antes que ele chegue ao navegador e captura provas forenses do que foi executado. Essa combinação, detecção, prevenção e um registro auditável, foi projetada para atender tanto à necessidade de segurança quanto aos requisitos de compliance 6.4.3 e 11.6.1 da PCI DSS.
Um WAF inspeciona as requisições antes que elas cheguem ao seu servidor e não sabe nada sobre o que é executado depois no navegador do visitante. A segurança do lado do cliente atua nesse ponto cego, vigiando os scripts, a página e as interações com os formulários que acontecem no dispositivo do usuário, onde os skimmers e o código injetado fazem seu trabalho.
Eles ajudam, mas não a cobrem. O HTTPS criptografa os dados em trânsito; uma CSP restringe quais domínios podem carregar scripts. Nenhum deles inspeciona o que um script permitido realmente faz depois de executado. Um script confiável, mas comprometido, passa por ambas as verificações, e por isso é necessário um monitoramento dedicado.
We answer client-side security questions every day. Bring yours.