Relatório técnico de verificação
Fortaleza Digital

1. Introdução — escolha do ambiente, objetivo e propósito

Este documento é a versão técnica, em formato de relatório, da verificação executada em 25 de agosto de 2026 sobre o portal Fortaleza Digital da Prefeitura de Fortaleza (secretaria / serviços educacionais em Oracle ORDS + APEX). Foi utilizado, a título de demonstração e de teste primário, um sítio da prefeitura em superfície pública, no nível de exame aberto (sem conta autenticada da secretaria), no máximo de profundidade permitido sem dano (L3).

Objetivo. Mapear o que um examinador — humano ou enxame de agentes de IA com navegador e terminal — consegue observar e provar em modo leitura: borda (WAF), transporte (TLS), ativos estáticos (CORS), higiene de cabeçalhos, alcance do banco de dados a partir da superfície pública, e o que permanece incompleto quando a borda bloqueia o examinador.

Propósito. Entregar à equipe da prefeitura um mapa acionável (achados, evidência, remediação, validação) e deixar explícito o que este teste primário não cobre: ambiente autenticado, demais sistemas da secretaria, e camadas internas atrás do login.

O que não foi feito. Não houve exploração, flood, alteração de dados, quebra de senha, nem execução do cenário de enxame. O bloco “o que um enxame faria” é extrapolação ancorada no que foi lido, não prova de invasão.

2. Método

Stack observada: Oracle ORDS + APEX (cookie ORA_WWV_APP_152, URLs r/portal), reverse proxy + WAF, TLS DigiCert, host estático info.fortaleza.ce.gov.br.

3. Achados

MÉDIO FD-M1 — Certificado TLS expira em ≈ 2026-09-15

Emissor DigiCert (GeoTrust TLS RSA CA G1). notAfter: Sep 15 23:59:59 2026 GMT. Protocolo TLSv1.2, cifra ECDHE-RSA-AES128-GCM-SHA256. Sem indício de renovação ACME. Certificado vencido em portal gov = browsers bloqueiam o cidadão.

Onde. fortalezadigital.fortaleza.ce.gov.br:443

Prova (não altera o sistema).

Remediação. Automatizar renovação (ACME ou agenda no provedor). Alerta 30 / 14 / 7 dias. Validação. Repetir o comando: notAfter > 60 dias à frente.

Evidência. evidence/f5.json · SHA-256 b7c2e6919fbbaccc3dabb864f9c38890504bd0f92e24ff478436e62970d6261a

MÉDIO FD-M2 — Host estático devolve Access-Control-Allow-Origin: *

info.fortaleza.ce.gov.br reflete ACAO * inclusive para origem arbitrária. Hoje serve CSS/imagens. Qualquer endpoint sensível nesse host fica legível cross-origin.

Prova.

Remediação. Restringir ACAO às origens da prefeitura. Validação. O mesmo pedido não deve devolver * para origem arbitrária.

INFO FD-I2 — Higiene de cabeçalhos da aplicação

• Referrer-Policy: unsafe-url (URL completa, inclusive query, vaza a terceiros).
• CSP e Permissions-Policy ausentes no caminho da app.
• Cookie de sessão ORA_WWV_APP_152: Secure+HttpOnly presentes; SameSite=None (superfície CSRF residual).

Remediação. Referrer-Policy strict-origin-when-cross-origin; CSP mínima; SameSite=Lax se compatível.

4. Controles que funcionaram

• WAF calibrado. Tripou em padrão XSS (faixa F1), página de negação ~705 B (“Sua solicitação foi negada” + support ID) em HTTP 200 disfarçado, bloqueio de IP > 15 min. Neutralizou reflexão de parâmetros (F2/F3) nesta corrida.
• Entropia de sessão. 3/3 amostras únicas, 32 caracteres.
• Cabeçalhos básicos. HSTS (186 d, includeSubDomains), X-Frame-Options SAMEORIGIN, X-Content-Type-Options nosniff, Cache-Control: no-store na app.

5. O que um enxame de agentes faria (não executado)

Extrapolação do que foi provado em leitura. Nenhum destes passos foi desferido contra o portal.

• Esperar o cadeado vencer — o browser derruba o portal sozinho.
• Copiar a cara do portal (educação / saúde) para golpe no timing de serviço real.
• Usar o host estático como trampolim se dado sensível for parar lá.
• Voltar com IP limpo e ritmo de gente — WAF segura a porta, não a casa (APEX/ORDS).
• Mirar a sessão do cidadão (SameSite=None) e o calendário de áreas exposto nas URLs de resultado.
• Verificar se o banco está ao alcance a partir da superfície pública — nesta corrida, não confirmado; o WAF cortou o mapeamento de login.

6. Limitações desta corrida

O WAF bloqueou o IP do examinador a meio da onda. Reflexão de parâmetros e superfícies de login ficaram incompletas: “zero achado” nessas faixas significa não testável neste run, não “seguro”. Login: HTTP 200 sem formulário no HTML estático (JS não alcançado). Captcha: nenhum visível nas superfícies alcançadas.

7. Ordem de correção (apontamos; a equipe fecha)

ParviSentinel verifica. Não instala correção. Não substitui o firewall nem a equipe.

8. Conclusão — o que este teste primário exige a seguir

A conclusão deste relatório não é o resultado da corrida de 25 de agosto. A conclusão é a necessidade de um exame completo, mais profundo, no ambiente da secretaria, em várias camadas:

• superfície pública (já iniciada aqui);
• superfície autenticada (conta autorizada da secretaria);
• os demais ambientes da secretaria de educação que guardam dado do cidadão e do banco.

Só assim se pode afirmar, com o mesmo rigor desta corrida, se o dado sensível está ao alcance de um examinador — humano ou enxame — para além da porta que o WAF já demonstrou saber fechar.

9. ParviGov — o livro dos passos, AWP e descarga

ParviGov é o produto de governança: o livro encadeado do que os agentes fizeram (LAG), a prova criptográfica para abrir esse livro (AWP) e, se precisarem de recibo emitido, o emissor (PayBotFin). Não é um “log de aplicativo” solto.

Guia de leitura (página e PDF). Como o cliente abre cada ficheiro, sem programa: página · PDF do guia.

Nesta corrida, cada passo de agente foi escrito em folha encadeada por hash. Quatro folhas correspondem ao arranque das quatro sessões (F1 ORDS, F2 sessão, F3 reflexão, F4 navegador). Os recortes de prova HTTP/TLS estão em cinco JSON. Os arquivos não ficam dentro deste PDF: cada botão Abrir mostra o texto no browser, sem precisar de programa. f1 a f5 são JSON (um bloco só). Só o livro é JSONL (4 linhas). JSONL o telemóvel e o Bloco de notas muitas vezes não abrem. Por isso o botão do livro abre a versão em texto, folha a folha.

O que o cliente vê quando abre cada ficheiro

Isto não é o AWP a “passar”. É a leitura do recorte, no browser ou num editor. Guia no mesmo endereço da pasta: https://chefe-read.pages.dev/fortaleza-evidence-2026-08-25/