Auditoria e Correção de Segurança AtriaHub

# AUDITORIA, CORREÇÃO DE BUGS E SEGURANÇA DO MARKETPLACE ATRIAHUB

Estamos procurando um desenvolvedor sênior ou especialista em segurança de aplicações para realizar uma auditoria técnica completa, identificar os problemas existentes e executar as correções necessárias no nosso marketplace AtriaHub.

## 1. SOBRE O ATRIAHUB

O AtriaHub é um marketplace local que conecta consumidores a empresas e estabelecimentos comerciais.

A plataforma possui funcionalidades como:
- Cadastro e autenticação de usuários.
- Cadastro e gerenciamento de empresas.
- Catálogo de produtos e serviços.
- Carrinho de compras.
- Criação e gerenciamento de pedidos.
- Agendamentos.
- Mensagens entre usuários e empresas.
- Cupons e avaliações.
- Notificações.
- Painel administrativo.

Atualmente, as compras são realizadas dentro do aplicativo, mas os pagamentos acontecem externamente, diretamente com a empresa, por Pix, dinheiro, cartão ou na entrega/retirada.

Futuramente, queremos implementar pagamentos internos, portanto precisamos de uma estrutura segura e preparada para essa evolução.

## 2. TECNOLOGIAS UTILIZADAS

- Front-end: React Native com Expo.
- Backend: NestJS e Node.js.
- Banco de dados: PostgreSQL.
- Comunicação: API REST.
- Autenticação: JWT.

Já possuímos os códigos-fonte do aplicativo e do backend, que serão disponibilizados ao profissional contratado.

## 3. OBJETIVO DA CONTRATAÇÃO

Precisamos de um profissional que faça uma análise profunda do sistema, encontre os erros e vulnerabilidades e realize as correções necessárias.

O trabalho não deve se limitar a uma revisão superficial do código.

Queremos que o profissional investigue, teste, identifique, corrija e comprove que os problemas foram solucionados.

## 4. ETAPA 1 — AUDITORIA E DIAGNÓSTICO

Realizar uma auditoria completa envolvendo:

**Aplicativo e funcionalidades**
- Identificação de bugs e falhas de funcionamento.
- Análise da comunicação entre aplicativo e backend.
- Verificação de erros de integração.
- Análise de desempenho e estabilidade.
- Verificação de problemas que possam provocar perda ou inconsistência de dados.

**Segurança**
- Testes de autenticação e recuperação de senhas.
- Análise de permissões de clientes, empresas e administradores.
- Verificação de acessos indevidos a contas e informações de terceiros.
- Testes de manipulação de requisições e APIs.
- Proteção de dados pessoais.
- Segurança de uploads e arquivos.
- Análise de armazenamento de tokens e credenciais.
- Testes de manipulação de preços, produtos, cupons, estoque, taxas e pedidos.
- Verificação de vulnerabilidades no código e nas dependências.

**Backend e infraestrutura**
- Análise do NestJS e das APIs.
- Auditoria do banco PostgreSQL.
- Análise das configurações do servidor.
- Verificação de backups e recuperação.
- Análise de logs, permissões e exposição de informações.

Utilizar referências técnicas reconhecidas, como OWASP ASVS, OWASP API Security Top 10 e OWASP MASVS/MASTG, conforme aplicabilidade.

## 5. ETAPA 2 — CORREÇÃO DOS PROBLEMAS

Após apresentar o diagnóstico, o profissional deverá executar as correções aprovadas.

Incluem-se:
- Correção de vulnerabilidades de segurança.
- Correção de bugs e falhas funcionais.
- Correção de problemas de comunicação entre aplicativo e backend.
- Ajustes nas regras de negócio.
- Correção de permissões e controles de acesso.
- Melhorias na autenticação e gerenciamento de sessões.
- Proteção contra manipulação de pedidos e valores.
- Correção de problemas no banco de dados.
- Ajustes de estabilidade e desempenho.
- Atualização de dependências vulneráveis.
- Melhorias necessárias na arquitetura.

Não queremos uma reescrita completa sem justificativa técnica. A prioridade é aproveitar o que já está desenvolvido, corrigindo o que estiver errado e melhorando a estrutura quando necessário.

## 6. ETAPA 3 — TESTES E VALIDAÇÃO

Depois das correções, será necessário testar novamente o sistema.

O profissional deverá:
- Repetir os testes de segurança.
- Verificar se as vulnerabilidades foram resolvidas.
- Testar os principais fluxos de compra e pedido.
- Testar os diferentes perfis de acesso.
- Verificar se as correções não provocaram novos problemas.
- Testar a comunicação entre aplicativo, API e banco de dados.
- Realizar testes de regressão.
- Validar a estabilidade da versão corrigida.

## 7. PREPARAÇÃO PARA FUTUROS PAGAMENTOS INTERNOS

Não estamos solicitando a implementação de pagamentos nesta contratação.

Entretanto, queremos que o profissional avalie e prepare a arquitetura para uma futura integração com gateways de pagamento.

Precisamos de recomendações para:
- Processamento seguro de pagamentos pelo backend.
- Integração com gateways.
- Webhooks e validação de confirmações.
- Prevenção de cobranças duplicadas.
- Controle de estornos e cancelamentos.
- Registro e conciliação financeira.
- Separação entre status do pedido e status do pagamento.
- Futura possibilidade de repasses às empresas.

## 8. ENTREGÁVEIS OBRIGATÓRIOS

Ao final do trabalho, esperamos receber:

1. Relatório de auditoria com todos os problemas identificados.
2. Classificação das vulnerabilidades por gravidade.
3. Evidências técnicas dos problemas encontrados.
4. Relação das correções realizadas.
5. Código-fonte atualizado e organizado.
6. Histórico das alterações realizadas.
7. Relatório dos testes executados.
8. Relatório de reteste das vulnerabilidades corrigidas.
9. Documentação das melhorias implementadas.
10. Recomendações para manutenção e evolução da plataforma.
11. Parecer técnico sobre as condições de segurança e estabilidade do sistema.

Todos os códigos e alterações deverão ser entregues à AtriaHub, mantendo a empresa como proprietária dos repositórios e da propriedade intelectual do projeto.

## 9. PERFIL DO PROFISSIONAL

Procuramos alguém com experiência comprovada em:
- Desenvolvimento React Native e Expo.
- Node.js e NestJS.
- PostgreSQL.
- Segurança de APIs REST.
- Pentest e segurança de aplicações.
- Autenticação e controle de permissões.
- Arquitetura de sistemas e marketplaces.
- Correção de vulnerabilidades e bugs complexos.

Experiência com auditoria de e-commerce, marketplaces e sistemas com múltiplas empresas será um diferencial.

## 10. INFORMAÇÕES SOLICITADAS NA PROPOSTA

Para avaliar os profissionais, solicitamos que respondam:

1. Qual sua experiência com auditoria de segurança e correção de vulnerabilidades?
2. Já trabalhou com React Native, Expo, NestJS e PostgreSQL?
3. Já realizou pentest em APIs e marketplaces?
4. Você consegue assumir tanto a auditoria quanto a implementação das correções?
5. Pode apresentar exemplos de projetos ou relatórios técnicos anteriores?
6. Qual metodologia utiliza para identificar e corrigir vulnerabilidades?
7. Qual o prazo estimado para a auditoria?
8. Qual o prazo estimado para as correções?
9. Qual o valor separado para auditoria, correções e testes finais?
10. Você oferece suporte após a entrega? Por quanto tempo?

## 11. MODELO DE CONTRATAÇÃO

Preferimos trabalhar por etapas e entregas aprovadas:

- Primeira etapa: auditoria e diagnóstico.
- Segunda etapa: aprovação do plano de correção.
- Terceira etapa: implementação das correções.
- Quarta etapa: testes finais e reteste.
- Quinta etapa: entrega do código e documentação.

Nenhuma alteração destrutiva deverá ser realizada em produção sem autorização. O trabalho deverá ser desenvolvido com versionamento, backups e ambiente de testes sempre que possível.

O profissional deverá manter confidencialidade sobre o código, os dados e as informações comerciais da AtriaHub.

**NOSSO OBJETIVO**

Queremos deixar o AtriaHub seguro, estável e profissional, eliminando os problemas existentes e construindo uma base tecnológica confiável para o crescimento do marketplace.

Buscamos um profissional que não apenas encontre os problemas, mas que tenha capacidade técnica para resolvê-los e comprovar que foram corrigidos.