Adicionar políticas de segurança e automação de dependências by albertomandlate · Pull Request #12 · SimansoftMZ/BridgeBank

albertomandlate · 2026-04-16T06:55:12Z

Resumo

Adiciona duas novas camadas de segurança ao projecto BridgeBank:

SECURITY.md — Política de segurança completa
.github/dependabot.yml — Automação de monitoramento de dependências

O que mudou

SECURITY.md (novo)

✅ Procedimento de divulgação responsável de vulnerabilidades (GitHub Advisory + email privado)
✅ Boas práticas para dados sensíveis (extractos, contas, transacções)
✅ Exemplos de código para autenticação, validação e criptografia
✅ Configuração de logs de auditoria
✅ Conformidade com RGPD, PCI DSS e legislação moçambicana
✅ Referências a normas do Banco de Moçambique

.github/dependabot.yml (novo)

✅ Monitoramento automático de dependências NuGet
✅ Monitoramento de imagens Docker
✅ Monitoramento de GitHub Actions
✅ Agrupamento inteligente de PRs (produção vs desenvolvimento)
✅ Schedule semanal (segundas, 03:00-05:00 Maputo)
✅ Atribuição automática de labels e reviewers

Por quê

O BridgeBank processa dados bancários sensíveis, tornando a segurança crítica:

Utilizadores precisam de orientação clara sobre divulgação de vulnerabilidades
Dependências desatualizadas são o principal vetor de ataque
Automação reduz carga manual de auditoria de segurança
Conformidade regulatória é obrigatória em operações financeiras

Para Reviewers

O SECURITY.md segue as recomendações de OWASP e Microsoft Security Best Practices
O dependabot.yml está configurado para ser não-intrusivo (agrupa PRs, limita simultaneidade)
Ambos os ficheiros estão em português de Moçambique, conforme a política do projecto
Nenhuma mudança de código — apenas documentação e configuração

🔒 Segurança em Primeiro Lugar

Inclui o arquivo CLAUDE.md com orientações detalhadas para uso do Claude Code no repositório. O documento cobre visão geral do projeto, comandos de build, testes, execução da API, uso de Docker, geração de SDKs, arquitetura dos diretórios, pontos de extensibilidade, convenções de código (com nomes em português) e estratégia de branches baseada em GitHub Flow. Facilita a colaboração, automação e padronização no desenvolvimento do toolkit de reconciliação bancária.

- SECURITY.md: Guia completo de segurança com procedimentos de divulgação responsável, boas práticas para dados sensíveis, validação de entrada e conformidade regulatória - .github/dependabot.yml: Configuração de automação Dependabot para monitorar dependências NuGet, Docker e GitHub Actions com agrupamento inteligente Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

Copilot

Pull request overview

Adiciona documentação e configuração para reforçar segurança operacional do repositório e automatizar actualizações de dependências.

Changes:

Adiciona uma política de segurança em SECURITY.md com processo de disclosure e recomendações de hardening.
Introduz configuração do Dependabot para NuGet/Docker/GitHub Actions em .github/dependabot.yml.
Adiciona CLAUDE.md com orientações de desenvolvimento/arquitectura para o Claude Code.

Reviewed changes

Copilot reviewed 3 out of 3 changed files in this pull request and generated 9 comments.

File	Description
SECURITY.md	Nova política de segurança e boas práticas para uso/integração do BridgeBank.
.github/dependabot.yml	Automação de updates de dependências (NuGet/Docker/Actions) via Dependabot.
CLAUDE.md	Guia de comandos, arquitectura e convenções para assistência de tooling (Claude).

Copilot · 2026-04-16T06:59:42Z

+# CLAUDE.md
+
+Este ficheiro fornece orientação ao Claude Code (claude.ai/code) quando trabalha com o código neste repositório.
+
+## Sobre o Projecto
+
+Toolkit .NET 10 open-source para reconciliação bancária em sistemas ERP moçambicanos. Publicado como pacotes NuGet (`Simansoft.BridgeBank.*`) e imagem Docker. Expõe também uma API REST com SDKs gerados para Python, TypeScript e Java.
+


O PR descreve apenas a adição de SECURITY.md e dependabot.yml, mas este ficheiro (CLAUDE.md) também está a ser introduzido. Actualize a descrição do PR para reflectir esta mudança adicional, ou mova CLAUDE.md para um PR separado se estiver fora do escopo.

Copilot · 2026-04-16T06:59:42Z

+
+## Processo de Divulgação
+
+1. **Recepção:** Acknowledgeamos a recepção do relatório dentro de 48 horas


A frase mistura inglês com português (“Acknowledgeamos”). Para manter a política clara/profissional, substitua por português correcto (ex.: “Confirmamos/Acusamos a recepção do relatório dentro de 48 horas”).

Suggested change

1. **Recepção:** Acknowledgeamos a recepção do relatório dentro de 48 horas

1. **Recepção:** Confirmamos a recepção do relatório dentro de 48 horas

Copilot · 2026-04-16T06:59:43Z

+Se o seu sistema processa dados pessoais (ex: NUIT, nomes), cumpra:
+
+- **LEI MOÇAMBICANA DE PROTEÇÃO DE DADOS** (se aplicável)
+- **RGPD** (se utilizadores da EU)


“EU” em português normalmente é “UE” (União Europeia). Ajustar evita confusão em documentação de conformidade.

Suggested change

- **RGPD** (se utilizadores da EU)

- **RGPD** (se utilizadores da UE)

Copilot · 2026-04-16T06:59:43Z

+Para questões de segurança confidenciais, entre em contacto com:
+
+- **Email:** [segurança do projecto]  
+- **GitHub Security Advisory:** [Reportar via GitHub](https://github.com/SimansoftMZ/BridgeBank/security/advisories)


O contacto de segurança está como placeholder (“[segurança do projecto]”). Para a política ser accionável, defina um email real (ou remova a opção de email e mantenha apenas GitHub Security Advisory).

Copilot · 2026-04-16T06:59:43Z

+      dependency-type:
+        patterns:
+          - "dependency-type:production"
+          - "dependency-type:development"


Os padrões de agrupamento definidos aqui não correspondem a nomes reais de pacotes NuGet do repo (ex.: NPOI, Microsoft.ML, etc.), então as actualizações não serão agrupadas como pretendido. Ajuste os groups para usar padrões que casem com IDs de pacotes (ou a abordagem suportada pelo Dependabot para separar produção vs desenvolvimento).

Suggested change

dependency-type:

patterns:

- "dependency-type:production"

- "dependency-type:development"

dependencias-nuget:

patterns:

- "*"

Copilot · 2026-04-16T06:59:43Z

+    labels:
+      - "dependencies"
+      - "chore"
+    # Auto-merge para patches e minor versions


O comentário diz “Auto-merge para patches e minor versions”, mas esta secção (allow) apenas filtra quais dependências podem ser actualizadas; não activa auto-merge por si só. Para evitar confusão operacional, ajuste o comentário ou documente onde/como o auto-merge é efectivamente configurado (ex.: regras do repositório/workflow).

Suggested change

# Auto-merge para patches e minor versions

# Permitir apenas actualizações de dependências de desenvolvimento e indirectas

Copilot · 2026-04-16T06:59:44Z

+
+- **Não envie segredos** — Revise seus commits antes de push; evite expor chaves, tokens ou dados sensíveis
+- **Testes de segurança** — Teste casos extremos e entrada malformada
+- **Dependências** — Use versões knowns de bibliotecas; revise `csproj` para dependências desatualizadas


Há um anglicismo/erro (“knowns”) no meio de uma frase em português. Troque por “conhecidas” (ou outra formulação em português) para evitar ambiguidade.

Suggested change

- **Dependências** — Use versões knowns de bibliotecas; revise `csproj` para dependências desatualizadas

- **Dependências** — Use versões conhecidas de bibliotecas; revise `csproj` para dependências desatualizadas

Copilot · 2026-04-16T06:59:44Z

+
+| Versão | Assunto | Data |
+|--------|---------|------|
+| 1.0.0+ | Versão inicial | [data] |


O histórico de versões contém um placeholder (“[data]”). Se não houver data real, considere remover a linha/tabela ou preencher com uma data concreta para evitar informação incompleta em release/políticas.

Suggested change

| 1.0.0+ | Versão inicial | [data] |

| 1.0.0+ | Versão inicial | 2026-04-16 |

Copilot · 2026-04-16T06:59:44Z

+  # Monitorar dependências Docker
+  - package-ecosystem: "docker"
+    directory: "/"
+    schedule:


A configuração Docker está a apontar para directory: "/", mas o Dockerfile do projecto está em src/BridgeBank.Api/Dockerfile. Assim, o Dependabot pode não actualizar a imagem base (mcr.microsoft.com/dotnet/*) usada pela API. Considere adicionar uma entrada separada para package-ecosystem: docker com directory: "/src/BridgeBank.Api" (mantendo outra para o docker-compose.yml na raiz, se desejado).

albertomandlate · 2026-04-16T07:04:28Z

@copilot apply changes based on the comments in this thread

Agent-Logs-Url: https://github.com/SimansoftMZ/BridgeBank/sessions/95fa79cc-c17a-4a95-8ba2-ba7301146ab8 Co-authored-by: albertomandlate <14326204+albertomandlate@users.noreply.github.com>

Copilot · 2026-04-16T07:08:25Z

@copilot apply changes based on the comments in this thread

Apliquei as alterações pedidas no thread no commit 23a62b3: corrigi os pontos de linguagem e placeholders em SECURITY.md, ajustei o dependabot.yml (group NuGet, comentário allow, e monitorização Docker para /src/BridgeBank.Api) e removi CLAUDE.md deste PR para manter o escopo.

Copilot

Pull request overview

Copilot reviewed 2 out of 2 changed files in this pull request and generated 6 comments.

albertomandlate · 2026-04-16T07:38:14Z

@copilot apply changes based on the comments in this thread

Agent-Logs-Url: https://github.com/SimansoftMZ/BridgeBank/sessions/88e06d28-a00e-4ae8-afa0-7444346d2df5 Co-authored-by: albertomandlate <14326204+albertomandlate@users.noreply.github.com>

Copilot · 2026-04-16T07:47:27Z

@copilot apply changes based on the comments in this thread

Aplicado no thread com os commits 6528a00, 48fa25e, 27f69fc, 0ab2b8c e fe2e83c: removi allow restritivo e a entrada Docker redundante no Dependabot, e actualizei os exemplos do SECURITY.md (ficheiro temporário seguro, HSTS por ambiente, AES-GCM com validação de chave/AAD, correcções gramaticais e nota de compatibilidade). Screenshot UI: N/A (sem alterações de interface).

albertomandlate and others added 2 commits April 16, 2026 08:36

Copilot AI review requested due to automatic review settings April 16, 2026 06:55

Copilot started reviewing on behalf of albertomandlate April 16, 2026 06:55 View session

Copilot AI reviewed Apr 16, 2026

View reviewed changes

Copilot started work on behalf of albertomandlate April 16, 2026 07:04 View session

Aplicar feedback de review em segurança e dependabot

23a62b3

Agent-Logs-Url: https://github.com/SimansoftMZ/BridgeBank/sessions/95fa79cc-c17a-4a95-8ba2-ba7301146ab8 Co-authored-by: albertomandlate <14326204+albertomandlate@users.noreply.github.com>

Copilot finished work on behalf of albertomandlate April 16, 2026 07:09

albertomandlate requested a review from Copilot April 16, 2026 07:13

Copilot started reviewing on behalf of albertomandlate April 16, 2026 07:13 View session

Copilot AI reviewed Apr 16, 2026

View reviewed changes

Comment thread .github/dependabot.yml Outdated

Comment thread .github/dependabot.yml Outdated

Comment thread SECURITY.md Outdated

Comment thread SECURITY.md Outdated

Comment thread SECURITY.md Outdated

Comment thread SECURITY.md Outdated

Copilot started work on behalf of albertomandlate April 16, 2026 07:38 View session

Copilot AI and others added 2 commits April 16, 2026 07:40

Aplicar segundo feedback de revisão em SECURITY e Dependabot

6528a00

Agent-Logs-Url: https://github.com/SimansoftMZ/BridgeBank/sessions/88e06d28-a00e-4ae8-afa0-7444346d2df5 Co-authored-by: albertomandlate <14326204+albertomandlate@users.noreply.github.com>

Reforçar exemplos de segurança no SECURITY.md

48fa25e

Agent-Logs-Url: https://github.com/SimansoftMZ/BridgeBank/sessions/88e06d28-a00e-4ae8-afa0-7444346d2df5 Co-authored-by: albertomandlate <14326204+albertomandlate@users.noreply.github.com>

Copilot AI review requested due to automatic review settings April 16, 2026 07:42

albertomandlate review requested due to automatic review settings April 16, 2026 07:42

Endurecer exemplos de segurança com validações adicionais

27f69fc

Agent-Logs-Url: https://github.com/SimansoftMZ/BridgeBank/sessions/88e06d28-a00e-4ae8-afa0-7444346d2df5 Co-authored-by: albertomandlate <14326204+albertomandlate@users.noreply.github.com>

Copilot AI review requested due to automatic review settings April 16, 2026 07:44

albertomandlate review requested due to automatic review settings April 16, 2026 07:44

Ajustar snippets de segurança conforme validação final

0ab2b8c

Agent-Logs-Url: https://github.com/SimansoftMZ/BridgeBank/sessions/88e06d28-a00e-4ae8-afa0-7444346d2df5 Co-authored-by: albertomandlate <14326204+albertomandlate@users.noreply.github.com>

Copilot AI review requested due to automatic review settings April 16, 2026 07:45

albertomandlate review requested due to automatic review settings April 16, 2026 07:45

Corrigir snippet de ficheiro temporário e nota de compatibilidade

fe2e83c

Agent-Logs-Url: https://github.com/SimansoftMZ/BridgeBank/sessions/88e06d28-a00e-4ae8-afa0-7444346d2df5 Co-authored-by: albertomandlate <14326204+albertomandlate@users.noreply.github.com>

Copilot AI review requested due to automatic review settings April 16, 2026 07:46

albertomandlate review requested due to automatic review settings April 16, 2026 07:46

Copilot finished work on behalf of albertomandlate April 16, 2026 07:48

albertomandlate merged commit c3b0153 into main Apr 16, 2026
7 checks passed


		## Processo de Divulgação

		1. Recepção: Acknowledgeamos a recepção do relatório dentro de 48 horas

	1. Recepção: Acknowledgeamos a recepção do relatório dentro de 48 horas
	1. Recepção: Confirmamos a recepção do relatório dentro de 48 horas

	- RGPD (se utilizadores da EU)
	- RGPD (se utilizadores da UE)

	# Auto-merge para patches e minor versions
	# Permitir apenas actualizações de dependências de desenvolvimento e indirectas

	- Dependências — Use versões knowns de bibliotecas; revise `csproj` para dependências desatualizadas
	- Dependências — Use versões conhecidas de bibliotecas; revise `csproj` para dependências desatualizadas

	\| 1.0.0+ \| Versão inicial \| [data] \|
	\| 1.0.0+ \| Versão inicial \| 2026-04-16 \|

Conversation

albertomandlate commented Apr 16, 2026

Resumo

O que mudou

SECURITY.md (novo)

.github/dependabot.yml (novo)

Por quê

Para Reviewers

Uh oh!

Copilot AI left a comment

Choose a reason for hiding this comment

Pull request overview

Reviewed changes

Uh oh!

Copilot AI Apr 16, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 16, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 16, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 16, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 16, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 16, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 16, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 16, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 16, 2026

Choose a reason for hiding this comment

Uh oh!

albertomandlate commented Apr 16, 2026

Uh oh!

Copilot AI commented Apr 16, 2026

Uh oh!

Copilot AI left a comment

Choose a reason for hiding this comment

Pull request overview

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

albertomandlate commented Apr 16, 2026

Uh oh!

Copilot AI commented Apr 16, 2026

Uh oh!

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

3 participants