bi-descomplicar/AUDIT-REPORT.md

["C-001] Ausencia de Autenticacao/Autorizacao\n\nSeveridade: Critica \nCVSS: 7.5 (Alta) \nLocalizacao: Todas as API routes \nFicheiros:\n- src/app/api/sites/route.ts\n- src/app/api/metrics/[siteId]/route.ts\n\nDescricao: \nA aplicacao nao implementa qualquer forma de autenticacao ou autorizacao. Todos os endpoints API estao publicamente acessiveis.\n\nImpacto:\n- Exposicao de dados sensiveis de clientes (metricas GA4, GSC)\n- Viola o principio de menor privilegio\n- Risco de compliance (GDPR)\n\nPrioridade: Alta \nEsforco: Medio (2-4 horas)\n\n---\n\n### [C-002] Validacao de Input Insuficiente\n\nSeveridade: Critica \nCVSS: 6.5 (Media-Alta) \nLocalizacao: src/app/api/metrics/[siteId]/route.ts:13-18\n\nDescricao: \nO parametro siteId nao e validado. parseInt(siteId) pode retornar NaN.\n\nCenarios de Falha:\n- siteId = "abc" -> parseInt("abc") = NaN -> query invalida\n- siteId = "-1", "query retorna null, nao tratado\n- period = "999d", "days = 999 -> query com range excessivo\n\nPrioridade: Alta \nEsforco: Baixo (30 min)\n\n---\n\n### [C-003] Erro TypeScript/ESLint\n\nSeveridade: Alta \nLocalizacao: src/components/dashboard/chart-card.tsx:23\n\nDescricao: \nUso de any type viola a regra @typescript-eslint/no-explicit-any.\n\nCodigo Problematico:\n\ndata: Array<Record<string, any>> // erro\n\n\nOutput do Lint:\n\nsrc/components/dashboard/chart-card.tsx\n 23:30 error Unexpected any. Specify a different type\n\n\nPrioridade: Media \nEsforco: Baixo (5 min)\n\n---\n\n## 3. Issues Moderados\n\n### [M-001] Ausencia de Rate Limiting\n\nSeveridade: Moderada \nLocalizacao: Todas as API routes\n\nDescricao: \nNenhum mecanismo de rate limiting implementado.\n\nPrioridade: Media \nEsforco: Medio (1-2 horas)\n\n---\n\n### [M-002] Ausencia de Caching\n\nSeveridade: Moderada \nLocalizacao: src/app/api/metrics/[siteId]/route.ts\n\nDescricao: \nQueries a base de dados executadas a cada request sem caching.\n\nImpacto:\n- Latencia desnecessaria (~200-500ms por request)\n- Carga extra na base de dados\n\nPrioridade: Media \nEsforco: Baixo (30 min)\n\n---\n\n### [M-003] useEffect sem Cleanup\n\nSeveridade: Moderada \nLocalizacao: src/components/dashboard/dashboard-view.tsx:89-113\n\nDescricao: \nO useEffect nao cancela requests quando o componente desmonta.\n\nImpacto:\n- Memory leaks\n- Race conditions\n\nPrioridade: Media \nEsforco: Baixo (20 min)\n\n---\n\n### [M-004] Prisma: Ausencia de Indices\n\nSeveridade: Moderada \nLocalizacao: prisma/schema.prisma\n\nDescricao: \nSchema sem indices para colunas frequentemente consultadas.\n\nRecomendacao:\nprisma\nmodel GA4DailyTraffic {\n @@index([propertyId, date])\n @@index([propertyId, date, pagePath])\n}\n\nmodel GA4TrafficSources {\n @@index([propertyId, date])\n}\n\nmodel GSCSearchPerformance {\n @@index([siteUrl, date])\n}\n\n\nPrioridade: Media \nEsforco: Baixo (10 min + migracao)\n\n---\n\n### [M-005] .gitignore Sobre-restritivo\n\nSeveridade: Baixa \nLocalizacao: .gitignore:34\n\nDescricao: \nPadrao .env* ignora .env.example.\n\nRecomendacao:\n\n.env*\n!.env.example\n\n\nPrioridade: Baixa \nEsforco: Baixo (2 min)\n\n---\n\n## 4. Oportunidades de Melhoria\n\n### [O-001] Extrair Logica para Services\n\nLogica de negocio nas API routes pode ser extraida para services reutilizaveis.\n\n### [O-002] Implementar Testes\n\nAusencia total de testes automatizados. Recomendado Vitest + Testing Library.\n\n### [O-003] Adicionar Scripts NPM\n\nFaltam scripts uteis no package.json:\n- typecheck\n- lint:fix\n- db:generate\n- db:studio\n\n---\n\n## 5. Quick Wins\n\n| # | Issue | Esforco | Impacto | Accao |\n|---|-------|---------|---------|-------|\n| 1 | [C-003] Erro ESLint any | 5 min | Alto | Corrigir tipo |\n| 2 | [C-002] Validar siteId | 30 min | Alto | Adicionar Zod schema |\n| 3 | [M-003] AbortController | 20 min | Medio | Adicionar cleanup |\n| 4 | [M-005] .gitignore | 2 min | Baixo | Adicionar excecao |\n| 5 | [M-004] Indices Prisma | 10 min | Medio | Adicionar @@index |\n\n---\n\n## 6. Checklist de Accoes\n\n### Prioridade Alta (Esta Semana)\n- [ ] [C-001] Implementar autenticacao (middleware ou NextAuth)\n- [ ] [C-002] Validar inputs com Zod\n- [ ] [C-003] Corrigir erro TypeScript any\n\n### Prioridade Media (Proxima Semana)\n- [ ] [M-001] Implementar rate limiting\n- [ ] [M-002] Adicionar caching nas API routes\n- [ ] [M-003] Adicionar AbortController aos useEffects\n- [ ] [M-004] Adicionar indices ao schema Prisma\n\n### Prioridade Baixa (Backlog)\n- [ ] [M-005] Corrigir .gitignore\n- [ ] [O-001] Extrair logica para services\n- [ ] [O-002] Implementar testes\n- [ ] [O-003] Adicionar scripts npm\n\n---\n\n## 7. Pontos Positivos\n\n| Aspecto | Observacao |\n|---------|------------|\n| Next.js 16 | Versao mais recente com App Router |\n| TypeScript | Strict mode activado, tipagem geral boa |\n| Dockerfile | Multi-stage, non-root user, optimizado |\n| Prisma | Singleton correcto, multi-schema |\n| UI | shadcn/ui, design system consistente |\n| Tailwind CSS 4 | Configuracao customizada com brand colors |\n| Health Check | Endpoint implementado |\n| Lint | ESLint configurado com TypeScript |\n\n---\n\n## 8. Dependencias\n\n### Producao\n| Dependencia | Versao | Proposito |\n|-------------|--------|-----------|\n| next | 16.1.6 | Framework |\n| react | 19.2.3 | UI Library |\n| @prisma/client | 5.22.0 | ORM |\n| recharts | 3.7.0 | Graficos |\n| zod | 4.3.6 | Validacao |\n| lucide-react | 0.564.0 | Icones |\n| tailwind-merge | 3.4.0 | CSS Utilities |\n| date-fns | 4.1.0 | Datas |\n\n### Dependencias Recomendadas (Faltantes)\n| Dependencia | Proposito |\n|-------------|-----------|\n| vitest | Testes unitarios |\n| @testing-library/react | Testes React |\n| @upstash/ratelimit | Rate limiting |\n| @upstash/redis | Cache/Rate limit |\n\n---\n\n## 9. Conclusao\n\nO projecto BI Descomplicar tem uma base solida com boas praticas de desenvolvimento (TypeScript strict, App Router, Docker optimizado). No entanto, requer atencao imediata a:\n\n1. Seguranca: Implementar autenticacao antes de producao\n2. Validacao: Proteger inputs contra valores invalidos\n3. Qualidade: Corrigir erro de lint existente\n\nApos resolucao dos issues criticos, a aplicacao estara apta para ambiente de producao.\n\n---\n\nAuditoria gerada automaticamente em 14-02-2026"]