Questão de Tecnologia da Informação · FCC TRT15 2024 (nº 52)

Proteger uma API RESTful significa garantir que apenas usuários autorizados acessem os dados (autenticação) e que eles só possam fazer o que lhes é permitido (autorização), tudo isso de forma segura e eficiente.

• (A) Incorreta: HTTPS (Hypertext Transfer Protocol Secure) é essencial para criptografar a comunicação e garantir a integridade dos dados em trânsito, mas não resolve por si só a questão de quem pode acessar a API ou o que essa pessoa pode fazer (autenticação e autorização).
• (B) Incorreta: A autenticação básica (Basic Authentication) envia credenciais codificadas em Base64, que não é criptografia e pode ser facilmente decodificada. Mesmo com HTTPS, enviar credenciais em texto claro (ou facilmente decodificável) a cada requisição é uma prática insegura e menos eficiente que o uso de tokens. Armadilha da banca: Muitos podem pensar que "autenticação básica" já é uma forma de segurança, mas a menção de "texto claro" (mesmo que codificado em Base64, que não é criptografia) a torna inaceitável para dados sensíveis.
• (C) Incorreta: Permitir acesso anônimo significa que qualquer um pode usar a API sem se identificar, o que é o oposto de "segura, sigilosa" para informações judiciais. Monitorar manualmente é uma medida reativa e insuficiente.
• (D) Correta: JWT (JSON Web Tokens) é um padrão moderno e robusto para autenticação e autorização em APIs RESTful. Após o login, o servidor emite um token assinado digitalmente que contém informações sobre o usuário e suas permissões. Esse token é enviado em requisições subsequentes, permitindo que a API verifique a identidade e as permissões de forma eficiente e segura, sem precisar consultar o banco de dados a cada vez.
• (E) Incorreta: Armazenar senhas de usuários, especialmente em cookies não criptografados, é uma falha de segurança gravíssima. Senhas nunca devem ser armazenadas diretamente em cookies e, se forem, devem ser criptografadas e protegidas contra acesso indevido.