A.6 — WebSockets (canal persistente)

Diferente do HTTP (pedido→resposta), o WebSocket abre um canal aberto nos dois sentidos (chat, tempo real). Riscos: aceitar conexão sem token, não validar a origem, e não checar autorização por mensagem (não só na conexão).