Éclair 1.10.3: primeira auditoria de segurança, 15 falhas corrigidas
Por Thierry Gustin
Publicado em
Atualizado em
6 min de leitura
Índice
O Éclair 1.10.3, lançado em 3 de novembro de 2026, corrige tudo o que a primeira auditoria de segurança completa do código do Éclair encontrou: 15 falhas confirmadas, 3 delas médias, nenhuma crítica nem alta, e 8 pistas que dependiam do servidor ou do navegador. Tudo está corrigido no código. Se o seu site usa a 1.10, a atualização é feita em um clique.
O que muda com o Éclair 1.10.3?
| Ponto | O que você precisa saber |
|---|---|
| Auditoria n.º 1 | Todo o código da 1.10.2 revisado por 86 agentes, 50 áreas cobertas |
| Falhas confirmadas | 15: 3 médias, 12 baixas, 0 altas, 0 críticas |
| Pistas a validar | 8, ligadas à hospedagem ou ao navegador, todas fechadas no código |
| Reforços | Mais de 50 recomendações da auditoria aplicadas |
| Verificações automáticas | De 620 para 918, com uma atualização real da 1.10.2 para a 1.10.3 testada a partir do GitHub |
| Arquivo | 619 KB (602 KB na 1.10.2) |
| O seu site público | Sem mudanças: as páginas publicadas continuam idênticas, byte a byte |
Essas correções chegam logo depois da 1.10.2, lançada no dia anterior, que apresento mais abaixo. O relatório completo da auditoria está on-line: ele está em inglês, em formato PDF, e tem 18 páginas.
Como a auditoria foi feita?
A auditoria segue o método público security-audit da Cloudflare. Ele divide o software em áreas a cobrir e depois lança ondas de agentes “caçadores” independentes. Cada pista encontrada é verificada de novo por outros agentes, que não a viram nascer, antes de entrar no relatório. Uma pista termina confirmada, a validar ou rejeitada.
Para a 1.10.2, o resultado é:
- 86 agentes: 4 de reconhecimento, 22 caçadores em 5 ondas, 6 críticos de cobertura e 54 verificadores;
- 50 áreas cobertas, e uma revisão final que não encontrou nenhuma lacuna;
- 24 registros finais: 15 falhas confirmadas, 8 pistas a validar e 1 pista rejeitada.
Tudo foi feito lendo o código e testando-o localmente, em um ambiente isolado pelo sistema operacional: sem acesso à rede, com dados e chaves fictícios, e sem sondar nenhum site real. O seu site nunca serviu de campo de testes.
A auditoria conclui que o código é defensivo no conjunto: a criptografia, a assinatura das atualizações, a limpeza dos conteúdos, as sessões e a proteção dos formulários resistem na maioria dos seus caminhos.
Quais falhas foram corrigidas?
Primeiro, as três falhas médias:
- Os botões de desconexão “Desconectar meus outros dispositivos” e “Desconectar todo mundo” renovavam sem querer a confirmação da senha. Isso não acontece mais.
- Redirecionamentos reservados: um redator não pode mais redirecionar os endereços
/.well-known/nem os endereços internos/_eclair/. Os que existiam ficam desativados, e você pode excluí-los. Um administrador ainda pode redirecionar outros endereços/.well-known/, comochange-password. - Um limite para os conteúdos: um site guarda no máximo 3.000 conteúdos, a IA para de criar rascunhos em 500, e o índice de busca guarda só o texto publicado, até 16 MB. Os seus conteúdos existentes continuam sempre editáveis.
As 12 falhas baixas afetam sobretudo cópias derivadas e limites que não cumpriam a promessa. Uma conta excluída agora some do cache das páginas. Um backup nunca contém o cofre (chaves de API, conexão com o Google Drive), mesmo com uma configuração mal escrita. Os limites de envio do formulário de contato e do conector MCP agora são rígidos. Por fim, os anúncios de atualização trazem um número e uma data de validade assinados.
As 8 pistas dependiam de um fato impossível de observar off-line, como o comportamento de uma hospedagem. Mesmo assim, todas estão fechadas no código. O relatório não traz nenhum detalhe de exploração: para cada ponto, ele diz o que estava errado e como foi corrigido.
O que muda na sua administração?
A maioria das correções é invisível. Algumas mudam a sua rotina:
- 🔒 Autenticação em dois fatores: para trocar de celular, desative a 2FA com a sua senha atual e ative-a de novo. Isso é feito em Meu perfil.
- 🔑 Dispositivos habituais: depois da atualização, cada dispositivo volta a ser “habitual” no próximo login bem-sucedido.
- ☁️ Google Drive: uma conexão feita antes da 1.10.3 aparece sinalizada. Desconecte-a e conecte-a de novo, para que o Éclair registre quem a criou.
- 🤖 Conector MCP: um app diferente do Claude ou do ChatGPT sempre pede a sua senha, e o botão Permitir é ativado depois de um instante, quando você move o mouse ou toca na tela.
- ✍️ Editor: a cópia local do seu trabalho não salvo pertence à conta conectada e é apagada ao sair.
- 💾 Formulário de contato: ao atingir as 100 mensagens por dia para o site inteiro, ele recusa todo mundo por 24 horas.
Se você usa Nginx, atualize as suas regras com o guia: media/ não serve mais arquivos .js nem .mjs.
O que a 1.10.2, lançada no dia anterior, corrigia?
A 1.10.2, lançada em 2 de novembro de 2026, resolvia dois problemas concretos.
- O antivírus da o2switch bloqueava o arquivo no gerenciador de arquivos. Era um falso positivo no código da atualização em um clique. As operações com arquivos agora ficam em uma pequena classe separada, e um teste verifica que nenhum arquivo entregue repete a sequência suspeita. O seu site não nota nenhuma diferença.
- O Google Drive se abre para cada site. A conexão dependia de credenciais do Google embutidas no arquivo, que nunca foram configuradas: o cartão continuava fechado. Cada site agora pode usar o próprio app do Google. Segurança › Backups no Google Drive guia você passo a passo (grátis, uns dez minutos, uma única vez), e depois você cola o ID do cliente e a chave secreta do cliente. A chave é criptografada no seu servidor.
Como passar para o Éclair 1.10.3?
A partir da 1.10.0, a atualização é feita na administração:
- Se várias contas trabalham no seu site, salve as alterações em andamento: as cópias não salvas da 1.10.2 não são mantidas.
- Faça um backup: Baixar backup, ou um backup no Google Drive.
- Abra Administração › Atualizações, marque a caixa do backup e clique em Atualizar.
A atualização instala a versão mais recente disponível, que inclui essas correções. Está na 1.9 ou antes? Use o FTP uma última vez, com o arquivo da página Baixar e o guia de atualização.
Onde ler o relatório de auditoria completo?
O relatório completo está em inglês, em formato PDF, com 18 páginas. Ele descreve o método, o ambiente isolado, cada falha com a sua correção e os limites do exercício. Também cobre a segunda auditoria, feita na 1.10.3, e a versão 1.10.4 que veio depois: leia o artigo sobre o Éclair 1.10.4.
Baixar o relatório de auditoria (PDF em inglês, 18 páginas)
O relatório é honesto sobre os seus limites: ele não afirma que o Éclair está livre de defeitos. As proteções também são explicadas em a segurança do Éclair, e todas as versões estão no registro de alterações.
Perguntas frequentes sobre o Éclair 1.10.3
O meu site foi atacado?
A auditoria não é sobre o seu site: ela examinou o código-fonte do Éclair, em um ambiente isolado, com dados fictícios, e nenhum site real foi sondado. As falhas que ela encontrou estão corrigidas na 1.10.3.
Devo instalar o Éclair 1.10.3 agora?
Sim, é uma versão de segurança. Faça um backup e abra Administração › Atualizações: a versão mais recente inclui essas correções. Se várias contas trabalham no seu site, salve antes as alterações em andamento.
Onde está o relatório de auditoria, e em que idioma?
O relatório está em inglês, em um PDF de 18 páginas. Você o baixa em /assets/site/eclair-cms-security-report-2026-11.pdf. Ele não contém nenhum detalhe de exploração.
O que preciso fazer com o Google Drive?
Se você o conectou antes da 1.10.3, a página Segurança avisa: desconecte-o e conecte-o de novo. O Éclair registra então quem criou a conexão, e a remove se essa conta for excluída ou perder o papel de administrador.
Quanto custa esta atualização?
Nada: o Éclair continua gratuito, com licença livre AGPL-3.0, e a atualização não usa IA. O arquivo pesa 619 KB, e o seu site público continua idêntico.
Leia também
Migrar do WordPress para o Éclair CMS sem perder um endereço
Migrar do WordPress para o Éclair CMS com o Eclair Export: conteúdos, imagens, SEO, menus e redirecionamentos, uma simulação e um relatório para o cliente.
Éclair 2.3 e Eclair Export 1.1: migrar do WordPress ficou fácil
O Éclair 2.3 e o Eclair Export 1.1 mudam um site WordPress em um só envio: uma chave, um clique, sem download nem FTP. Esquemas e guia passo a passo.
Criar um site de A a Z com o Agente IA Éclair CMS
O guia completo para criar um site profissional com o Agente IA Éclair CMS: cada etapa, os atritos eliminados, as capturas de tela e o link para baixar.