---
title: "Éclair 1.10.3: primeira auditoria de segurança, 15 falhas corrigidas"
description: "O Éclair 1.10.3 corrige as 15 falhas e as 8 pistas de uma auditoria completa do código: o método, os números, o que muda e o relatório em PDF."
url: "https://eclaircms.org/blog/eclair-1-10-3-auditoria-de-seguranca"
lang: "pt"
author: "Thierry Gustin"
published: "2026-11-03"
updated: "2026-11-10"
---

# Éclair 1.10.3: primeira auditoria de segurança, 15 falhas corrigidas

> **O essencial** — Lançado em 3 de novembro de 2026, o Éclair 1.10.3 é uma versão de segurança. Uma auditoria completa do código da 1.10.2, feita com o método security-audit da Cloudflare e 86 agentes, confirmou 15 falhas: 3 médias, 12 baixas, nenhuma crítica nem alta. Todas estão corrigidas, junto com 8 pistas ligadas ao servidor ou ao navegador. As verificações automáticas passam de 620 para 918. O relatório completo, em inglês, pode ser baixado em PDF.

O Éclair 1.10.3, lançado em 3 de novembro de 2026, corrige tudo o que a primeira auditoria de segurança completa do código do Éclair encontrou: 15 falhas confirmadas, 3 delas médias, nenhuma crítica nem alta, e 8 pistas que dependiam do servidor ou do navegador. Tudo está corrigido no código. Se o seu site usa a 1.10, a atualização é feita em um clique.

## O que muda com o Éclair 1.10.3?

| Ponto | O que você precisa saber |
| --- | --- |
| Auditoria n.º 1 | Todo o código da 1.10.2 revisado por 86 agentes, 50 áreas cobertas |
| Falhas confirmadas | 15: 3 médias, 12 baixas, 0 altas, 0 críticas |
| Pistas a validar | 8, ligadas à hospedagem ou ao navegador, todas fechadas no código |
| Reforços | Mais de 50 recomendações da auditoria aplicadas |
| Verificações automáticas | De 620 para 918, com uma atualização real da 1.10.2 para a 1.10.3 testada a partir do GitHub |
| Arquivo | 619 KB (602 KB na 1.10.2) |
| O seu site público | Sem mudanças: as páginas publicadas continuam idênticas, byte a byte |

Essas correções chegam logo depois da 1.10.2, lançada no dia anterior, que apresento mais abaixo. O relatório completo da auditoria está on-line: ele está em inglês, em formato PDF, e tem 18 páginas.

## Como a auditoria foi feita?

A auditoria segue o [método público *security-audit* da Cloudflare](https://github.com/cloudflare/security-audit-skill). Ele divide o software em áreas a cobrir e depois lança ondas de agentes “caçadores” independentes. Cada pista encontrada é verificada de novo por outros agentes, que não a viram nascer, antes de entrar no relatório. Uma pista termina confirmada, a validar ou rejeitada.

Para a 1.10.2, o resultado é:

- **86 agentes**: 4 de reconhecimento, 22 caçadores em 5 ondas, 6 críticos de cobertura e 54 verificadores;
- **50 áreas cobertas**, e uma revisão final que não encontrou nenhuma lacuna;
- **24 registros finais**: 15 falhas confirmadas, 8 pistas a validar e 1 pista rejeitada.

Tudo foi feito lendo o código e testando-o localmente, em um ambiente isolado pelo sistema operacional: sem acesso à rede, com dados e chaves fictícios, e sem sondar nenhum site real. O seu site nunca serviu de campo de testes.

A auditoria conclui que o código é defensivo no conjunto: a criptografia, a assinatura das atualizações, a limpeza dos conteúdos, as sessões e a proteção dos formulários resistem na maioria dos seus caminhos.

## Quais falhas foram corrigidas?

Primeiro, as três falhas médias:

- **Os botões de desconexão** “Desconectar meus outros dispositivos” e “Desconectar todo mundo” renovavam sem querer a confirmação da senha. Isso não acontece mais.
- **Redirecionamentos reservados**: um redator não pode mais redirecionar os endereços `/.well-known/` nem os endereços internos `/_eclair/`. Os que existiam ficam desativados, e você pode excluí-los. Um administrador ainda pode redirecionar outros endereços `/.well-known/`, como `change-password`.
- **Um limite para os conteúdos**: um site guarda no máximo 3.000 conteúdos, a IA para de criar rascunhos em 500, e o índice de busca guarda só o texto publicado, até 16 MB. Os seus conteúdos existentes continuam sempre editáveis.

As 12 falhas baixas afetam sobretudo cópias derivadas e limites que não cumpriam a promessa. Uma conta excluída agora some do cache das páginas. Um backup nunca contém o cofre (chaves de API, conexão com o Google Drive), mesmo com uma configuração mal escrita. Os limites de envio do formulário de contato e do conector MCP agora são rígidos. Por fim, os anúncios de atualização trazem um número e uma data de validade assinados.

As 8 pistas dependiam de um fato impossível de observar off-line, como o comportamento de uma hospedagem. Mesmo assim, todas estão fechadas no código. O relatório não traz nenhum detalhe de exploração: para cada ponto, ele diz o que estava errado e como foi corrigido.

## O que muda na sua administração?

A maioria das correções é invisível. Algumas mudam a sua rotina:

- **🔒 Autenticação em dois fatores**: para trocar de celular, desative a 2FA com a sua senha atual e ative-a de novo. Isso é feito em **Meu perfil**.
- **🔑 Dispositivos habituais**: depois da atualização, cada dispositivo volta a ser “habitual” no próximo login bem-sucedido.
- **☁️ Google Drive**: uma conexão feita antes da 1.10.3 aparece sinalizada. Desconecte-a e conecte-a de novo, para que o Éclair registre quem a criou.
- **🤖 Conector MCP**: um app diferente do Claude ou do ChatGPT sempre pede a sua senha, e o botão **Permitir** é ativado depois de um instante, quando você move o mouse ou toca na tela.
- **✍️ Editor**: a cópia local do seu trabalho não salvo pertence à conta conectada e é apagada ao sair.
- **💾 Formulário de contato**: ao atingir as 100 mensagens por dia para o site inteiro, ele recusa todo mundo por 24 horas.

Se você usa Nginx, atualize as suas regras com o guia: `media/` não serve mais arquivos `.js` nem `.mjs`.

## O que a 1.10.2, lançada no dia anterior, corrigia?

A 1.10.2, lançada em 2 de novembro de 2026, resolvia dois problemas concretos.

1. **O antivírus da o2switch** bloqueava o arquivo no gerenciador de arquivos. Era um falso positivo no código da atualização em um clique. As operações com arquivos agora ficam em uma pequena classe separada, e um teste verifica que nenhum arquivo entregue repete a sequência suspeita. O seu site não nota nenhuma diferença.
2. **O Google Drive se abre para cada site.** A conexão dependia de credenciais do Google embutidas no arquivo, que nunca foram configuradas: o cartão continuava fechado. Cada site agora pode usar o próprio app do Google. **Segurança › Backups no Google Drive** guia você passo a passo (grátis, uns dez minutos, uma única vez), e depois você cola o ID do cliente e a chave secreta do cliente. A chave é criptografada no seu servidor.

## Como passar para o Éclair 1.10.3?

A partir da 1.10.0, a atualização é feita na administração:

1. Se várias contas trabalham no seu site, **salve as alterações em andamento**: as cópias não salvas da 1.10.2 não são mantidas.
2. Faça um backup: **Baixar backup**, ou um backup no Google Drive.
3. Abra **Administração › Atualizações**, marque a caixa do backup e clique em **Atualizar**.

A atualização instala a versão mais recente disponível, que inclui essas correções. Está na 1.9 ou antes? Use o FTP uma última vez, com o arquivo da página [Baixar](https://eclaircms.org/pt/baixar) e o [guia de atualização](https://eclaircms.org/pt/documentacao/atualizacoes).

## Onde ler o relatório de auditoria completo?

O relatório completo está em inglês, em formato PDF, com 18 páginas. Ele descreve o método, o ambiente isolado, cada falha com a sua correção e os limites do exercício. Também cobre a segunda auditoria, feita na 1.10.3, e a versão 1.10.4 que veio depois: [leia o artigo sobre o Éclair 1.10.4](https://eclaircms.org/blog/eclair-1-10-4-segunda-auditoria-de-seguranca).

[Baixar o relatório de auditoria (PDF em inglês, 18 páginas)](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf)

O relatório é honesto sobre os seus limites: ele não afirma que o Éclair está livre de defeitos. As proteções também são explicadas em [a segurança do Éclair](https://eclaircms.org/pt/documentacao/seguranca), e todas as versões estão no [registro de alterações](https://eclaircms.org/pt/changelog).

## Perguntas frequentes sobre o Éclair 1.10.3

### O meu site foi atacado?

A auditoria não é sobre o seu site: ela examinou o código-fonte do Éclair, em um ambiente isolado, com dados fictícios, e nenhum site real foi sondado. As falhas que ela encontrou estão corrigidas na 1.10.3.

### Devo instalar o Éclair 1.10.3 agora?

Sim, é uma versão de segurança. Faça um backup e abra Administração › Atualizações: a versão mais recente inclui essas correções. Se várias contas trabalham no seu site, salve antes as alterações em andamento.

### Onde está o relatório de auditoria, e em que idioma?

O relatório está em inglês, em um PDF de 18 páginas. Você o baixa em [/assets/site/eclair-cms-security-report-2026-11.pdf](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf). Ele não contém nenhum detalhe de exploração.

### O que preciso fazer com o Google Drive?

Se você o conectou antes da 1.10.3, a página Segurança avisa: desconecte-o e conecte-o de novo. O Éclair registra então quem criou a conexão, e a remove se essa conta for excluída ou perder o papel de administrador.

### Quanto custa esta atualização?

Nada: o Éclair continua gratuito, com licença livre AGPL-3.0, e a atualização não usa IA. O arquivo pesa 619 KB, e o seu site público continua idêntico.

[Baixar o Éclair 2.3.0](https://eclaircms.org/pt/baixar)

— Thierry Gustin, Créateur d’Éclair CMS, consultant SEO et formateur IA · 10 de novembro de 2026