Segurança RexOS Shield
Os ataques param na porta, muito antes de chegar ao servidor.
Cada requisição a este site passa por 12 camadas de proteção, da borda da rede até o código que a responde. Jogadores reais e buscadores passam sem perceber.
- Monitorado 24 horas por dia
- OWASP Top 10 coberto
- Somente HTTPS, com HSTS
- Login em duas etapas
- Atacantes denunciados com provas
O que o Shield barrou esta semana
Contado neste site pelo próprio Shield. Buscadores verificados e visitantes reais não entram nesses números.
- 7,011dom
- 8,291seg
- 7,842ter
- 8,359qua
- 10,260qui
- 12,986sex
- 1,198Hoje
Hoje, por tipo
- Scrapers de SEO
- 985
- Ataques barrados pelo firewall
- 181
- Bots maliciosos e navegadores falsos
- 25
- Requisições forjadas na entrada
- 5
- Atacantes reincidentes banidos
- 1
- Verificações humanas falhas
- 1
2,994 visitas verificadas de buscadores e crawlers de IA liberadas hoje
Denunciados este mês, por categoria
- Port Scan110
- Web App Attack110
- Exploited Host54
- Bad Web Bot37
Como uma requisição é verificada
Cada visita percorre este caminho em poucos milissegundos. Uma requisição que falha em uma etapa não segue adiante.
- Borda
Requisições falsas ou quebradas são descartadas.
- Reputação
Redes maliciosas conhecidas são recusadas.
- Verificação do navegador
O navegador precisa combinar com seu dispositivo e sua rede.
- Firewall
Cabeçalhos, formulários e corpos de API são desempacotados e inspecionados.
- Limites
Floods e tentativas de adivinhar senhas são freados.
- Aplicação
A página é montada apenas com consultas seguras.
- Verificação de vazamento
A resposta é verificada antes de sair.
Passou pelas sete: a página é entregue. Buscadores e robôs de IA são verificados na etapa 3 e nunca ficam mais lentos.
O que ele barra
Os ataques que mais vemos e o que acontece com cada um.
| Ameaça | Como fica | O que o Shield faz |
|---|---|---|
| Injeção de SQL | Comandos de banco de dados escondidos em um formulário, link ou chamada de API. | Decodificado, reconhecido e bloqueado antes de qualquer consulta rodar. |
| Cross-site scripting (XSS) | Código de script inserido em uma avaliação, perfil ou link. | Bloqueado na entrada, e toda página escapa o que exibe. |
| Execução remota de código | Comandos de shell ou código enviados para o servidor executar. | Reconhecido em toda entrada e bloqueado no firewall. |
| Sondagem de arquivos secretos | Requisições por arquivos .env, backups, wp-config e ferramentas de admin. | Bloqueado na hora. Scanners reincidentes são banidos e denunciados. |
| Tentativas de adivinhar senhas | Milhares de logins vindos de endereços rotativos. | Limitado e depois bloqueado. O login em duas etapas barra senhas roubadas. |
| Scrapers e bots falsos | Um bot fingindo ser o Googlebot ou um navegador comum. | Verificado pela rede e pelo dispositivo. Falsos são barrados. |
| Abuso de Tor e proxy | Ataques escondidos atrás de Tor, VPNs e servidores alugados. | Primeiro uma verificação humana. A maioria das ferramentas automáticas desiste ali. |
| Floods na aplicação | Uma rajada de requisições pesadas para deixar o site lento. | Limites de requisições por endereço, depois um bloqueio automático. |
| Spam e fraude | Avaliações falsas, spam de tickets e abuso de pedidos ou recompensas. | Verificado no envio. Pedidos fraudulentos são sinalizados e denunciados. |
Ataques escondidos são decodificados primeiro
Atacantes disfarçam o código para driblar filtros simples. O Shield decodifica cada camada antes de decidir. Estes três são testes reais da nossa última auditoria.
%2527%20UNION%2F**%2FSELECT%20password%20FROM%20usersé lido como' union select password from usersBloqueado: Injeção de SQL&lt;svg onload=alert(1)&gt;é lido como<svg onload=alert(1)>Bloqueado: Cross-site scripting (XSS)／ｅｔｃ／ｐａｓｓｗｄé lido como/etc/passwdBloqueado: Acesso a arquivos do sistema
Cada camada, uma função
Cada camada cobre uma forma diferente de entrar. Juntas, protegem o site, o launcher e todas as contas.
Filtragem na borda
Requisições maliciosas e forjadas são rejeitadas na borda, antes de a aplicação rodar.
Inteligência de ameaças
O tráfego de redes maliciosas conhecidas é bloqueado com listas de ameaças atualizadas continuamente.
Gestão de bots
A verificação multissinal no desktop e no celular confere se cada navegador é coerente com seu dispositivo e rede. Robôs de buscadores e de IA são verificados, e impostores são barrados.
Controle de proxy e anonimato
Visitantes vindos de Tor, VPN e redes de hospedagem, ou navegadores que denunciam um proxy alugado, precisam passar por uma verificação humana antes de ver o site.
Firewall de aplicação web
Cada requisição, incluindo cabeçalhos e corpos de API, é inspecionada contra injeção, cross-site scripting e outros ataques do OWASP Top 10. Cargas codificadas e ofuscadas são decodificadas primeiro, então truques de evasão falham.
Detecção de varreduras e anomalias
Buscas por ferramentas de administração, arquivos secretos, backups e exploits conhecidos são bloqueadas na hora. Iscas expõem robôs que ignoram as regras.
Proteção de contas
Tentativas de força bruta e de credential stuffing são freadas e bloqueadas. O login em duas etapas protege as contas no site e no launcher, e é obrigatório para a equipe.
Prevenção de vazamento de dados
As respostas de saída são inspecionadas para que segredos e detalhes internos nunca saiam do servidor.
Endurecimento do servidor
Arquivos sensíveis ficam inacessíveis pela web, e o conteúdo enviado nunca pode ser executado no servidor.
Proteção contra spam e fraude
Avaliações, tickets e anúncios são filtrados contra spam e envios automáticos. Pedidos e recompensas são verificados para que não possam ser explorados.
Proteção contra flood e monitoramento
Floods na camada de aplicação acionam um bloqueio automático. Cada evento de segurança é registrado em detalhe e entregue à equipe em tempo real.
Denúncia de abusos
Atacantes, spammers e pedidos fraudulentos confirmados são denunciados a bancos de dados globais de abuso, cada um com sua categoria e provas.
Bots legítimos entram, bots falsos ficam de fora
Buscadores e assistentes de IA só passam depois que confirmamos que vêm do dono real. Qualquer um pode copiar o nome de um bot, ninguém pode copiar a rede dele.
- Googlebot
- Googlebot smartphone
- Google-InspectionTool
- Googlebot-Image
- Bingbot
- Applebot
- DuckDuckBot
- GPTBot
- OAI-SearchBot
- ChatGPT-User
- ClaudeBot
- Claude-User
- PerplexityBot
- MistralAI-User
Um "Googlebot" vindo de um servidor alugado é bloqueado.
Testado contra ataques reais
Estes são os resultados da nossa última revisão completa.
Revisado em
- 1,260
- cargas de ataque enviadas a 7 pontos de entrada diferentes. Todas foram bloqueadas.
- 0
- bloqueios indevidos em 631 avaliações, comentários e mensagens normais.
- 14
- buscadores e robôs de IA testados. Todos passaram, os falsos não.
Como é uma denúncia de abuso
Quando um atacante é confirmado, as evidências vão para o AbuseIPDB e o Spamhaus para que outros sites também possam bloqueá-lo. Este exemplo usa um endereço de documentação.
IP 203.0.113.47 · Web App Attack, SQL Injection, Hacking Blocked 14 requests in 3 minutes by RexOS Shield (web application firewall) GET /search?q=1%27%20UNION%20SELECT%20password%20FROM%20users-- GET /.env · GET /wp-config.php.bak · GET /admin/phpinfo.php User agent: python-requests/2.31 · Network: hosting provider
Como contas e dados ficam protegidos
A proteção não para no firewall. Estas regras fazem parte do próprio site.
Senhas
Armazenadas apenas como hashes fortes de mão única. Ninguém consegue lê-las, nem nós.
Login em duas etapas
No site e no launcher, e obrigatório para a equipe.
Sessões
Os cookies são HttpOnly, seguros e same-site, então scripts e outros sites não conseguem usá-los.
Formulários
Todo formulário leva um token de uso único, então outros sites não podem enviá-lo por você.
Banco de dados
Toda consulta é preparada, então uma entrada nunca vira um comando.
Regras do navegador
HSTS, Content Security Policy, regras de frame e referrer em todas as páginas.
Uploads
Imagens e arquivos nunca podem rodar como código no servidor.
Launcher
Código aberto e compilado publicamente pelo GitHub Actions.
Como configuramos para você
Conte o que você usa
Seu site, servidor, loja ou painel, e os ataques que você já viu.
Estudamos o seu tráfego
Aprendemos o que é normal para você, para que jogadores reais nunca sejam bloqueados.
O Shield entra no ar
A proteção é ativada passo a passo, com logs desde o primeiro minuto.
Seguimos monitorando
Alertas, relatórios mensais e ajuda quando um ataque começa.
Quer a mesma proteção para o seu servidor ou site?
Configuramos o RexOS Shield para redes de Minecraft, lojas e sites de comunidade. Conte o que você administra e responderemos com um plano.
- Firewall e proteção contra bots ajustados ao seu tráfego
- Buscadores e jogadores reais nunca são bloqueados
- Atacantes denunciados com provas
- Logs detalhados e alertas em tempo real
- Ajuda enquanto um ataque acontece
Perguntas
A proteção deixa o site mais lento?
Não. A maioria das verificações roda antes de a página ser montada, então uma visita normal não fica mais lenta.
Ela pode bloquear o Google ou jogadores reais?
Buscadores e robôs de IA verificados sempre passam, e visitantes normais passam sem perceber.
O que acontece com os atacantes?
Eles são bloqueados e registrados e, depois de confirmados, denunciados ao AbuseIPDB e ao Spamhaus com provas.
Posso ter essa proteção no meu próprio servidor ou site?
Sim. Configuramos o RexOS Shield para redes de Minecraft, lojas e sites de comunidade. Fale conosco e conte o que você administra.
Ele impede ataques DDoS?
Ele impede floods direcionados ao próprio site, como rajadas de requisições e floods de login. Floods de rede muito grandes precisam ser absorvidos pela rede da hospedagem, e ajudamos você a configurar isso.
Qual a diferença para um plugin de firewall comum?
O Shield roda antes do site, decodifica ataques disfarçados, confere os bots com seus donos reais e compartilha atacantes confirmados com bancos de dados de abuso.
Como relato um problema de segurança?
Abra um ticket de suporte e comece o assunto com Security. Respondemos rápido e damos crédito a relatos responsáveis.
Encontrou uma falha de segurança?
Recebemos bem relatos de pesquisadores e jogadores, e damos crédito aos responsáveis.
Faça
- Abra um ticket de suporte e comece o assunto com Security
- Inclua os passos para reproduzir
- Dê tempo para corrigirmos antes de tornar público
Não faça
- Acessar ou alterar dados de outras pessoas
- Rodar floods ou testes de carga
- Usar scanners automáticos em alta velocidade
Se você fizer isso, a atividade é registrada e rastreada até a rede de onde veio. Podemos denunciá-la com as provas a esse provedor e a bancos de dados de abuso; o provedor pode identificar o titular da conta por trás do endereço. Casos graves podem ser denunciados diretamente às autoridades competentes, e você é responsável pelas consequências legais.
No Brasil, esses ataques são crime. A invasão de dispositivo informático (art. 154-A do Código Penal, com a redação da Lei 14.155/2021) tem pena de reclusão de 1 a 4 anos e multa, e a interrupção de serviço informático (art. 266, § 1º) tem pena de detenção de 1 a 3 anos e multa.
