Este artigo faz parte do Infraestrutura como código: verificar antes de aplicar.
Por que o IaC muda o jogo
Infraestrutura como código descreve o ambiente em arquivos versionados. Isso traz uma vantagem pouco explorada: dá para revisar a configuração antes de aplicá-la.
Em vez de descobrir um problema no ambiente em produção, você o encontra na definição — quando corrigir custa minutos, não um incidente.
O que costuma dar errado
Os problemas mais comuns em IaC são exposição indevida (um recurso público sem intenção), permissões amplas e configurações inseguras herdadas de exemplos da internet.
Como o código é aplicado de forma automatizada, um erro se propaga rápido e para vários ambientes ao mesmo tempo.
- Recursos expostos publicamente por padrão.
- Permissões e papéis amplos demais.
- Segredos embutidos no código.
- Configurações inseguras copiadas de exemplos.
Verificar antes de aplicar
A verificação de IaC analisa os arquivos em busca de configurações inseguras antes do apply. É o mesmo princípio do shift-left, aplicado à infraestrutura.
Isso pode rodar localmente e também no pipeline, de forma que a configuração segura seja o padrão e o desvio seja percebido cedo.
Com o tempo, os padrões seguros viram módulos reutilizáveis — e o time para de repetir os mesmos erros.
- Análise dos arquivos antes do apply.
- Verificação no pipeline.
- Padrões seguros reaproveitáveis.
Segredos e dados sensíveis
Um erro frequente é deixar segredos embutidos no código de infraestrutura, como senhas e chaves em texto claro.
Segredos devem viver em um cofre, referenciados pelo código e nunca versionados. Um segredo exposto no repositório é um incidente esperando acontecer.
Como começar
Comece rodando a verificação sobre os arquivos que você já tem. A lista inicial de achados mostra onde está o risco e o que corrigir primeiro.
Depois, integre a verificação ao fluxo, para que nada seja aplicado sem passar por ela.
O objetivo não é travar a entrega, e sim impedir que uma configuração insegura chegue ao ambiente.
Perguntas frequentes
Verificar IaC atrasa a entrega?
Não, quando é parte do fluxo. A verificação roda junto com o processo e pega o problema na definição — evitando retrabalho e correções emergenciais depois.
Serve para o nosso stack?
Sim. As verificações cobrem as principais ferramentas de IaC, como Terraform, Ansible e manifestos de Kubernetes, além de templates de nuvem.