Quatro posts sobre os três sinais que descrevem a saúde de segurança do seu código — Security Hotspots, Code Vulnerabilities, Dependency Vulnerabilities — e como olhar os três juntos vira diagnóstico cirúrgico em vez de planilha de auditoria.
Você pode ler na ordem proposta cada post pavimenta o próximo ou pular direto para o sinal que está te incomodando agora. O post 4 fecha a série mostrando como integrar os três sinais em diagnóstico operacional para a conversa com CISO/CTO, então recomendo lê-lo por último, depois de ter os outros como contexto.
Começar pelo Post 01 →Diferente de uma Vulnerability confirmada, Hotspot é decisão pendente — código suspeito o suficiente para exigir revisão humana antes de virar produção. Tratar como categoria separada filtra ruído e tira segurança da pilha de achismo.
Taint analysis rastreia o caminho do input do usuário até a operação perigosa. SQL injection, XSS, path traversal — famílias catalogadas em CWE e OWASP Top 10, não teoria acadêmica.
Bibliotecas externas são 80%+ do código em produção. Log4Shell, Polyfill.io, event-stream atingiram times que nunca escreveram a vulnerability. SCA, SBOM e supply chain attestations mudam essa equação.
O fechamento da série. Diagnóstico cirúrgico a partir do sintoma: pressão de auditoria = Hotspots não revisados; incidente confirmado = Code Vulnerabilities; CVE herdado de terceiros = Dependency Vulnerabilities.
Toda a série foi destilada do one-pager oficial da plataforma SQA da Codurance sobre os três sinais e a forma de integrá-los — o que compõe o pilar Code Security, segundo dos quatro pilares do Software Quality Assessment (SQA) da Codurance. Cada post cita as fontes específicas que usou.
O SQA é um método de avaliação com quatro pilares mensuráveis: Code Quality, Segurança, Processo e Conhecimento — cada um com seu próprio conjunto de métricas. Esta série cobre apenas o segundo pilar; os demais estão em séries próprias.
Para Tech Leads que hoje apagam incêndio de CVE de forma reativa, o passo natural é integrar os três sinais em uma visão única e estabelecer baseline priorizado. É exatamente o que a plataforma SQA faz — sem integração de pipeline, sem nova ferramenta no fluxo do dev. Veja o último post para detalhes.
A plataforma SQA roda esses três sinais a partir do repositório (sem integração de pipeline, sem nova ferramenta no fluxo do dev) e entrega o diagnóstico agregado por sistema, com grade A–F por pilar.
Aguarde as novas séries dos pilares de Development Process Quality e Knowledge Distribution.
SABER MAIS SOBRE O SQA → Falar com a Codurance