Permissoes de fornecedores

A visao Dependencies (dependencias) no painel do cside lista todos os fornecedores e dominios que entregam scripts ao seu site. Abra um fornecedor para ver sua grade de permissoes: um conjunto de botoes Allow (permitir) e Block (bloquear) que controlam o que os scripts desse fornecedor podem fazer nos navegadores dos seus usuarios.

Esta pagina explica cada permissao, o que ela cobre e o que o bloqueio previne.

Como funcionam as permissoes

Cada permissao tem tres estados:

Allow (marca de verificacao verde): os scripts do fornecedor podem usar essa capacidade.
Block (escudo vermelho): o cside impede que os scripts do fornecedor usem essa capacidade.
Unset (padrao): o fornecedor mantem seu comportamento normal e o cside continua monitorando o que ele faz.

As permissoes se aplicam por fornecedor, para toda a sua equipe. Quando um script nao corresponde a um fornecedor conhecido, voce pode definir as mesmas permissoes no dominio dele.

Quando voce bloqueia uma permissao, o cside aplica sua decisao no navegador. As tentativas bloqueadas continuam sendo registradas, entao voce pode ver o que um fornecedor tentou fazer depois que voce o restringiu.

Pense nas permissoes como privilegio minimo para terceiros: cada fornecedor recebe apenas as capacidades de que precisa para fazer seu trabalho.

Recursos

Essas permissoes controlam o que os scripts de um fornecedor podem carregar, incorporar ou executar nas suas paginas.

Permissao	O que cobre	O que o bloqueio previne
Create and execute dynamic scripts	Carregamento de codigo adicional em tempo de execucao com tags de script	Impede que o fornecedor traga codigo novo e nao revisado depois que a pagina carrega. E assim que um fornecedor comprometido normalmente escala um ataque.
Network Requests	Realizacao de requisicoes de rede fetch e XHR	Impede que o fornecedor envie dados do navegador para os proprios servidores. Este e o principal canal de exfiltracao de dados.
Frames	Incorporacao de iframes e frames	Impede sobreposicoes de iframes ocultos, prompts de login falsos e injecao de interface no estilo clickjacking.
Objects	Incorporacao de plugins e objetos	Impede conteudo de plugins legados (tags `<object>` e `<embed>`), um caminho de injecao antigo mas ainda explorado.
Workers	Execucao de web workers e service workers	Impede scripts em segundo plano que rodam fora da vista, interceptam requisicoes ou continuam ativos depois que o usuario sai da pagina.
Media	Carregamento de conteudo de audio e video	Impede carregamentos indesejados de audio ou video, incluindo midia usada para rastreamento ou fraude de anuncios.
Stylesheets	Carregamento de folhas de estilo externas	Impede injecao de estilos que pode ocultar elementos da pagina, sobrepor interfaces falsas ou vazar dados digitados atraves de seletores CSS.
Prefetch	Pre-carregamento de recursos	Impede o carregamento especulativo de recursos do fornecedor, que pode vazar sinais de navegacao antes que o usuario interaja.
Manifest	Carregamento de manifests de aplicativos web	Impede que o fornecedor forneca um manifest que altera como seu site e instalado ou se comporta como um aplicativo.
Images	Carregamento de imagens externas	Impede carregamentos de imagens, incluindo pixels de rastreamento: imagens minusculas usadas para enviar dados para fora.
Fonts	Carregamento de fontes externas	Impede carregamentos de fontes do fornecedor, um canal discreto para rastreamento e fingerprinting.

APIs sensiveis

Essas permissoes controlam o acesso ao hardware do dispositivo atraves do navegador.

Permissao	O que cobre	O que o bloqueio previne
Camera	Acesso a camera do dispositivo	Impede que scripts solicitem acesso a camera, assim os usuarios nunca veem um prompt que poderiam aceitar por engano.
Screen Capture	Captura do conteudo da tela ou de janelas	Impede que scripts solicitem gravacao de tela, o que pode expor qualquer coisa visivel na tela do usuario.
Geolocation	Acesso a localizacao do dispositivo	Impede que scripts solicitem a localizacao fisica dos seus usuarios.
Microphone	Acesso ao microfone do dispositivo	Impede que scripts solicitem acesso ao microfone e gravem audio.

Armazenamento

Essas permissoes controlam o acesso aos dados armazenados no navegador.

Permissao	O que cobre	O que o bloqueio previne
Cookies	Leitura ou gravacao de cookies	Impede que o fornecedor leia identificadores de sessao ou tokens e plante seus proprios cookies de rastreamento.
Local Storage	Leitura ou gravacao de localStorage	Impede o acesso a dados persistidos, que frequentemente incluem identificadores de usuario e informacoes pessoais em cache.
Session Storage	Leitura ou gravacao de sessionStorage	Impede o acesso a dados de sessao por aba, como o estado de um checkout em andamento.
IndexedDB	Acesso a bancos de dados IndexedDB	Impede o acesso a bancos de dados estruturados do navegador, onde aplicacoes frequentemente armazenam conjuntos maiores de dados de usuarios.

Eventos

Essas permissoes controlam se um fornecedor pode observar como os usuarios interagem com as suas paginas.

Permissao	O que cobre	O que o bloqueio previne
Click Events	Escuta de eventos de clique	Impede o rastreamento de cliques nas suas paginas, incluindo a captura do que os usuarios tocam e selecionam.
Keyboard Events	Escuta de eventos de teclado	Impede keylogging (registro de teclas). Um script que escuta as teclas digitadas pode capturar tudo o que um usuario digita, incluindo credenciais e numeros de cartao.

Permissoes de formularios

Essas permissoes controlam quais campos de formulario os scripts de um fornecedor podem ler. Elas sao centrais para prevenir o roubo de dados de formularios, incluindo skimming no estilo Magecart, e apoiam os requisitos 6.4.3 e 11.6.1 do PCI DSS 4.0.1 para paginas de pagamento.

Permissao	O que cobre	O que o bloqueio previne
Form Access	Acesso a elementos e dados de formularios	A permissao geral de formularios. O bloqueio impede que o fornecedor leia campos de formulario nao cobertos por uma permissao mais especifica abaixo.
Email Fields	Campos de entrada de e-mail	Impede a coleta de enderecos de e-mail que seus usuarios digitam.
File Uploads	Campos de entrada de arquivos	Impede o acesso a arquivos que os usuarios anexam, como documentos de identidade ou extratos.
Password Fields	Campos de entrada de senha	Impede a coleta de credenciais em formularios de login e cadastro.
Hidden Fields	Campos ocultos de formularios	Impede a leitura de campos ocultos, que frequentemente guardam tokens de sessao, tokens CSRF ou IDs internos.
Address Fields	Campos de entrada de endereco	Impede a coleta de enderecos residenciais e de entrega.
Search Fields	Campos de entrada de busca	Impede a captura do que os usuarios buscam no seu site.
Phone Fields	Campos de entrada de telefone	Impede a coleta de numeros de telefone.
URL Fields	Campos de entrada de URL	Impede a leitura de URLs que os usuarios inserem em formularios.
Name Fields	Campos de entrada de nome	Impede a coleta de nomes pessoais.
One-Time Login	Campos de login de uso unico	Impede o roubo de codigos de uso unico, que atacantes usam para burlar a MFA.
Birthday Fields	Campos de data de nascimento	Impede a coleta de datas de nascimento, um dado chave para roubo de identidade.
Sex/Gender Fields	Campos de entrada de sexo e genero	Impede a coleta de dados demograficos sensiveis.
Credit Card Fields	Campos de entrada de cartao de credito	Impede o skimming de cartao: scripts lendo numeros de cartao enquanto os usuarios os digitam no checkout.

Outros

Permissao	O que cobre	O que o bloqueio previne
Notifications	Envio de notificacoes push	Impede prompts de notificacao e spam de push vindos do fornecedor.
Full Screen	Solicitacao do modo de tela cheia	Impede tomadas de tela cheia usadas para imitar a interface do navegador em sobreposicoes de phishing.
Payment API	Acesso a Payment Request API	Impede que o fornecedor invoque a interface de pagamento do navegador ou sonde capacidades de pagamento.
History API	Manipulacao do historico do navegador	Impede manipulacoes de URL que podem disfarcar a pagina em que o usuario realmente esta ou travar o botao de voltar.
Clipboard	Leitura ou gravacao na area de transferencia	Impede que scripts leiam o que os usuarios copiaram em outros lugares, como senhas ou enderecos de carteiras, e o sequestro da area de transferencia, como a troca de um endereco de pagamento copiado pelo endereco de um atacante.

Escolhendo o que bloquear

Voce nao precisa tomar 40 decisoes por fornecedor no primeiro dia. Uma abordagem pratica:

Comece pelas capacidades que o fornecedor nao tem motivo para usar. A maioria dos fornecedores nunca precisa de eventos de teclado, campos de senha, campos de cartao de credito ou da area de transferencia. Bloquear esses itens raramente afeta a funcionalidade.
Verifique o comportamento registrado do fornecedor. A visao Dependencies mostra o que cada fornecedor realmente faz no seu site. Se um fornecedor nunca usou uma capacidade, o bloqueio traz baixo risco.
Restrinja as paginas onde os dados estao. Em fluxos de checkout e login, priorize as permissoes de formularios e Keyboard Events.
Acompanhe os relatorios depois de bloquear. As tentativas bloqueadas continuam sendo registradas. Um fornecedor que tenta repetidamente algo que voce bloqueou merece investigacao.

Se voce ainda nao ve Dependencies no seu painel, a funcionalidade esta sendo liberada gradualmente. Entre em contato com support@cside.dev para habilitar o recurso para sua equipe.

Paginas relacionadas

Deteccao de ameacas: como o cside identifica scripts maliciosos automaticamente
Deteccao de vulnerabilidades: como o cside sinaliza scripts com vulnerabilidades conhecidas
PCI DSS / PCI Shield: requisitos de scripts para paginas de pagamento
Logs de auditoria: acompanhe as mudancas de configuracao feitas pela sua equipe