choere: update cookbooks

Author: Bulletdev

.pentest/README.md

@@ -1,6 +1,6 @@
 # ProStaff API - Pentest Lab
 
-Lab de testes de segurança para a API ProStaff. Adaptado do framework chorrocho.
+Lab de testes de segurança para a API ProStaff
 
 ## Alvo
 
@@ -27,7 +27,7 @@ Credenciais de teste: `test@prostaff.gg` / `Test123!@#`
 ./tools/install.sh check    # verifica status das ferramentas
 ```
 
-## Scripts
+## Scripts — API (scripts/)
 
 | Script | Vetor | Destrutivo |
 |--------|-------|-----------|
@@ -46,22 +46,50 @@ Credenciais de teste: `test@prostaff.gg` / `Test123!@#`
 | 13_nuclei_scan.sh | Templates customizados + headers/auth/Rails exposures | Nao |
 | 14_httpx_recon.sh | Recon completo de paths e headers | Nao |
 | 15_full_audit.sh | Roda todos os scripts em sequencia | Opcional |
+| 16_security_headers.sh | CarameloScan checkers #1-7, #10, #13-16 (HSTS, CSP, CORS) | Nao |
+| 17_cookie_security.sh | Flags Secure/HttpOnly/SameSite, escopo, invalidacao no logout | Nao |
+| 18_content_security.sh | Server disclosure, Referrer-Policy, Cache-Control, stack trace | Nao |
+| 19_info_disclosure.sh | .env, .git, swagger, rails/info, sidekiq, logs, Gemfile | Nao |
+| 20_dns_email_spoof.sh | SPF, DMARC, DKIM, MX, zone transfer AXFR, subdomain takeover | Nao |
+
+## Scripts — Frontend (front/)
+
+| Script | Vetor |
+|--------|-------|
+| check-security-headers.sh | Todos os 22 checkers CarameloScan no prostaff.gg |
+| check-cookies.sh | Flags de cookie, SameSite, duracao, CSRF token |
+| check-sri.sh | SRI em scripts/CSS externos, source maps, scripts inline |
+| check-content-security.sh | Version disclosure, Referrer-Policy, cache em paginas auth, COOP/CORP |
+| check-info-disclosure.sh | .env, .git, __NEXT_DATA__, BUILD_ID, comentarios HTML, robots.txt |
+
+Todos os scripts de frontend aceitam o target como primeiro argumento:
+```bash
+./front/check-security-headers.sh https://staging.prostaff.gg
+```
 
 ## Uso rapido
 
 ```bash
-# Todos os testes (sem os destrutivos)
+# Todos os testes API (sem os destrutivos)
 ./scripts/15_full_audit.sh --skip-destructive
 
-# Todos os testes
-./scripts/15_full_audit.sh
-
-# Script individual
-./scripts/01_health_recon.sh
-./scripts/03_jwt_attacks.sh
-
-# Auditoria rapida (sem nuclei e search)
-./scripts/15_full_audit.sh --quick
+# Auditoria de headers API (producao)
+./scripts/16_security_headers.sh
+./scripts/16_security_headers.sh http://localhost:3333   # local
+
+# Auditoria completa de seguranca (CarameloScan + extras)
+./scripts/16_security_headers.sh
+./scripts/17_cookie_security.sh
+./scripts/18_content_security.sh
+./scripts/19_info_disclosure.sh
+./scripts/20_dns_email_spoof.sh
+
+# Auditoria completa frontend
+./front/check-security-headers.sh
+./front/check-cookies.sh
+./front/check-sri.sh
+./front/check-content-security.sh
+./front/check-info-disclosure.sh
 ```
 
 ## Ordem recomendada
@@ -72,6 +100,18 @@ Credenciais de teste: `test@prostaff.gg` / `Test123!@#`
 4. `08` → `09` (integracao externa e exports)
 5. `10` → `11` (WebSocket e search)
 6. `12` → `13` → `14` (info disclosure e scan automatizado)
+7. `16` → `17` → `18` → `19` → `20` (headers, cookies, content, DNS)
+8. `front/check-*` (auditoria frontend)
+
+## Relatorios
+
+Salvos em `reports/` com data no nome. Formato: `security-audit-YYYY-MM-DD.md`.
+ Nunca commitar - adicione ao .gitignore.
+
+
+| Relatorio | Data | Criticos | Status |
+|-----------|------|----------|--------|
+
 
 ## Vetores principais (Rails/JWT)
 
@@ -93,6 +133,26 @@ Credenciais de teste: `test@prostaff.gg` / `Test123!@#`
 - CORS wildcard em API autenticada
 - Stack trace em respostas de erro
 
+### Headers HTTP (Scan)
+- HSTS ausente ou max-age insuficiente
+- CSP ausente ou com unsafe-inline/unsafe-eval
+- X-Frame-Options ausente (clickjacking)
+- X-Content-Type-Options ausente (MIME sniffing)
+- CORS Allow-Origin wildcard (*)
+- Referrer-Policy ausente
+
+### Cookies
+- Flag Secure ausente (cookie enviado via HTTP)
+- Flag HttpOnly ausente (XSS pode roubar token)
+- SameSite ausente (CSRF)
+- Duracao excessiva
+
+### DNS / Email
+- SPF ausente (email spoofing)
+- DMARC ausente (sem politica de rejeicao)
+- Zone transfer AXFR habilitado
+- Subdomain takeover (CNAME para servico abandonado)
+
 ### Integracao
 - SSRF via sync Riot API (region parameter)
 - CSV formula injection em exports
@@ -102,13 +162,3 @@ Credenciais de teste: `test@prostaff.gg` / `Test123!@#`
 
 Salvos em `snapshots/` com timestamp. Nunca commitar - adicione ao .gitignore.
 
-## Diferenca do chorrocho
-
-| Chorrocho | ProStaff |
-|-----------|----------|
-| HTTP POST JSON simples | REST completo com rotas aninhadas |
-| Google Apps Script backend | Rails 7.1 + PostgreSQL |
-| Cloudflare Turnstile (bot protection) | JWT Bearer token |
-| Sem usuarios/roles | JWT com roles + multi-tenant |
-| Google Sheets (nao SQL) | PostgreSQL (SQL real) |
-| Cloudflare Workers (sem state) | Rails stateful + Redis |