Recon e postura

Passo 1: curl -sI "$BASE/" | sort ✅ Registre: x-powered-by: Next.js (vaza stack) · CSP presente · x-frame-options/nosniff ✅ · sem HSTS. Passo 2: curl -s "$BASE/robots.txt" → entrega Disallow: /admin/ e /api/admin/. Passo 3: curl -s "$BASE/sitemap.xml" | head -c 600 → inventário de feeds públicos. Passo 4 (Chrome): F12 → Network → filtro .js → recarregar → abrir cada chunk → Response → Ctrl+F por eyJ, sk-, secret, password. ✅ Nada encontrado (bundle client limpo — validado por scan de 2514 arquivos). Passo 5: curl -s -o /dev/null -w "%{http_code}\n" "$BASE/api/feed?niche=health'%20OR%20'1'='1" → 200 (workers.dev sem WAF próprio).