DevSecOps
Transforma a pipeline em uma série de portões de segurança automatizados — sem travar o time.
O que é
é a combinação de cultura e automação: segurança deixa de ser uma revisão no fim do ciclo e vira código dentro do CI/CD, com responsabilidade compartilhada entre desenvolvimento, operações e segurança.
Security gates
Cada stage ganha um portão com critério explícito:
- PR bloqueado se ou reportar achado crítico novo
- imagem de container só sobe se o scan de vulnerabilidades passar
- deploy condicionado a artefato assinado e verificado
- política como código (/Rego) versionada junto com a pipeline
Política como código: o gate escrito, não combinado
Um gate de verdade não é acordo verbal — é um arquivo versionado que a pipeline consulta. Em OPA/Rego, a regra abaixo nega qualquer imagem com vulnerabilidade crítica, e o texto do motivo sai na mensagem de erro do deploy:
package deploy
deny[msg] {
input.image.vulns.critical > 0
msg := sprintf("imagem %s tem %d vulnerabilidades críticas",
[input.image.name, input.image.vulns.critical])
}Provar procedência: o deploy que verifica assinatura
O nível seguinte é provar origem e integridade: frameworks como e registram a proveniência de cada artefato, e ferramentas como Cosign/Sigstore assinam imagens e commits. O deploy só prossegue se a assinatura bater — o artefato veio da sua pipeline, do commit esperado, sem adulteração:
cosign verify --key cosign.pub ghcr.io/org/app:1.4.2
cosign verify-attestation --type slsaprovenance \
--key cosign.pub ghcr.io/org/app:1.4.2O equilíbrio
Portão rígido demais vira contorno: devs dão bypass em ferramenta que trava entrega por falso positivo. O caminho saudável é começar em modo auditoria (alerta sem bloqueio), medir, ajustar regras e endurecer os gates aos poucos — cada endurecimento é uma decisão baseada em dados, não em fé.
conexões no mapa
- DevSecOpsgates & políticasCI/CD
- Threat modeling - pensar como o atacante antes de codarvira gateDevSecOps
atualizado em 14/10/2026 · fontes para aprofundar · reportar erro
em outros domínios
- O loop de verificaçãovibecodinggates automáticos na esteira, sem exceção para código gerado
- CSPM — postura cloudcloudsecvira política contínua em produção
- Policy as codesecenggates e políticas, escritos como código executável
Estude antes
teste o que entendeu
Carregando perguntas…