Ferramentas para desenvolvedores que querem entender o que estão fazendo.
Resolva problemas técnicos com zero telemetria. Domine especificações RFC, protocolos e arquitetura de sistemas.
O que é o Curious-Techie?
O Curious-Techie é uma plataforma técnica independente com foco em privacidade para desenvolvedores e engenheiros de software que desejam compreender a fundo o funcionamento da web. Oferece utilitários executados 100% no navegador combinados com guias arquiteturais, especificações RFC, laboratórios práticos e preparação para entrevistas de engenharia, sem envio de dados para servidores.
Tópicos Técnicos Populares
Hubs de autoridade técnica explorando protocolos web, segurança de navegadores, criptografia e dados.
Cryptography & Hashing
One-way mathematical functions, digests, HMAC & collision resistance.
DNS & Internet Protocols
Hierarchical name resolution, DNS-over-HTTPS & domain registries.
Browser & Web Security
Cross-Origin Resource Sharing, CSP Level 3 & HTTP defensive headers.
Data Encodings & Formats
Binary-to-text schemes, percent-encoding & serialization mechanics.
Tokens & Stateless Auth
JSON Web Token anatomy, asymmetric signatures & claim verification.
Unique Identifiers & Epochs
128-bit distributed keys, time-ordered UUID v7 & Unix timestamps.
Utilitários para Desenvolvedores
Ferramentas interativas executadas diretamente na memória do navegador com zero latência.
Guias de Arquitetura em Destaque
Análises aprofundadas de padrões web, especificações RFC e engenharia de software.
O que é DNS e Como Funcionam os Servidores de Nomes?
Entenda o Sistema de Nomes de Domínio: resolução hierárquica, servidores raiz, registros A/AAAA/MX/TXT e DNS criptografado sobre HTTPS (DoH).
Guia Completo de HTTP (Hypertext Transfer Protocol)
Referência arquitetônica definitiva para HTTP/1.1, HTTP/2, HTTP/3, semântica de requisições e códigos de status.
Guia Completo de HTTPS (HTTP Seguro)
O guia definitivo para Transport Layer Security sobre HTTP, certificados digitais, conteúdo misto e HSTS.
O que é SSL/TLS e Como Funcionam os Certificados HTTPS?
Guia completo sobre TLS 1.3, handshakes criptográficos assimétricos, cadeias de certificados X.509 e registros de Transparência de Certificados.
Guia Completo de Segurança Web
O blueprint definitivo de defesa em profundidade: barreiras de segurança do navegador, cabeçalhos defensivos e mitigação de ameaças.
O que é JWT? Arquitetura de JSON Web Tokens (RFC 7519)
Autenticação sem estado, estrutura header/payload/assinatura, codificação Base64URL e por que decodificar não é validar.
Soluções de Problemas e Diagnósticos
Diagnósticos verificados em produção, análise de causa raiz e resoluções passo a passo.
Como Corrigir o Erro CORS: Cabeçalho Access-Control-Allow-Origin Ausente
O erro acontece porque o servidor não envia o cabeçalho Access-Control-Allow-Origin. Adicione o cabeçalho no backend autorizando a origem do frontend.
How to Fix CORS Preflight Errors
A CORS preflight error occurs when your backend fails to return a successful HTTP status (200 OK or 204 No Content) on the automatic preflight HTTP OPTIONS request, or fails to include Access-Control-Allow-Methods and Access-Control-Allow-Headers.
Why CSP Blocks JavaScript
The browser blocked your JavaScript because your server’s Content-Security-Policy (CSP) header does not permit inline scripts or the external domain hosting the script in its script-src directive.
Why JWT Works in Postman but Not in Browser
The request succeeds in Postman because Postman does not enforce the browser Same-Origin Policy (SOP). In a web browser, adding an Authorization: Bearer header triggers an automatic CORS preflight (HTTP OPTIONS) probe. If the backend fails the preflight or omits authorization from Access-Control-Allow-Headers, the browser blocks the token before the server ever reads it.
Referências e Especificações Técnicas
Tabelas completas de cabeçalhos de protocolos, códigos de status HTTP e diretivas de segurança.
Referência de Códigos de Status HTTP
Os códigos HTTP possuem 3 dígitos divididos em 5 classes: 1xx informativo, 2xx sucesso, 3xx redirecionamento, 4xx erro do cliente e 5xx erro do servidor.
Referência de Métodos HTTP (RFC 9110)
Os métodos HTTP indicam a operação a ser executada em um recurso. GET, HEAD e OPTIONS são seguros (somente leitura); GET, PUT e DELETE são idempotentes.
Referência de Cabeçalhos HTTP (Request & Response Headers)
Cabeçalhos HTTP transmitem metadados sobre requisições e respostas em pares chave-valor sem modificar a carga útil dos dados.
Referência de Tipos de Conteúdo HTTP (Content-Type)
O cabeçalho Content-Type informa ao destinatário o formato MIME e a codificação de caracteres do corpo da mensagem HTTP.
Laboratórios Interativos de Diagnóstico
Simulações no navegador para inspecionar máquinas de estado, avalanches de hash e backtracking.
DNS Resolution & Zone Configuration Lab: Debugging TTL Caching, Record Delegation, and NXDOMAIN Outages
Diagnose and remediate a live multi-region DNS propagation outage caused by a misconfigured CNAME apex alias and excessive negative cache TTL on an authoritative nameserver.
HTTP Lifecycle & Status Code Engineering Lab: Request-Response Pipelines, Headers, and Caching Controls
Construct raw HTTP requests, analyze status code transitions (200 vs 304 vs 412), and eliminate redundant payload transfer using HTTP conditional validation headers.
HTTPS & TLS Handshake Deep-Dive Lab: Certificate Chains, Cipher Suites, and Mixed-Content Remediation
Diagnose an incomplete X.509 certificate trust chain causing ERR_CERT_AUTHORITY_INVALID on mobile devices, and remediate mixed-content active blocking on an upgraded HTTPS web application.
Laboratório de Engenharia Criptográfica JWT: Adulteração de Claims e Validação de Assinatura
Compreender a diferença prática entre codificação Base64URL e assinatura criptográfica, corrigindo vulnerabilidades comuns.
Perguntas e Respostas Técnicas Diretas
Respostas claras e autoritativas para dúvidas frequentes de engenharia.
Q: Qualquer pessoa pode descriptografar um JWT?
Sim, os tokens JSON Web Tokens padrão (JWS) são assinados, não criptografados. O cabeçalho e a carga útil são strings em Base64URL que qualquer pessoa pode decodificar e ler em texto simples sem a chave secreta.
Q: Por que você não deve armazenar JWTs no LocalStorage?
Armazenar tokens no localStorage os expõe à exfiltração imediata em caso de vulnerabilidades Cross-Site Scripting (XSS). O uso de cookies com os atributos HttpOnly, Secure e SameSite bloqueia o acesso via JavaScript e protege a sessão.
Q: Can an Expired JWT Token Still Be Verified?
Yes, the cryptographic signature of an expired JWT remains mathematically valid because signatures are computed solely over the header and payload data. However, compliant JWT libraries will reject the token during authentication because the expiration claim (`exp`) is explicitly checked after signature verification.
Q: What Is the Difference Between Authentication and Authorization?
Authentication (AuthN) verifies who a user is (identity confirmation), while Authorization (AuthZ) determines what permissions or resources that authenticated user is allowed to access.
Preparação para Entrevistas de Engenharia
Trade-offs de design de sistemas e respostas modelo para funções de nível sênior.
Explique o passo a passo exato do que acontece quando você digita uma URL no navegador e o DNS é resolvido.
O navegador verifica 4 camadas de cache (navegador, SO, roteador e resolvedor recursivo do ISP). Em caso de ausência, o resolvedor percorre a hierarquia: Servidor Raiz (.) -> Servidor TLD (.com) -> Servidor Autoritativo (example.com), retornando o registro A/AAAA.
Por que o navegador envia uma requisição HTTP OPTIONS antes de um POST em CORS e como evitar preflights desnecessários?
Navegadores enviam requisições OPTIONS prévias para solicitações não simples (como headers Authorization ou application/json) para verificar a segurança do servidor antes de enviar dados. Elas podem ser cacheadas com o cabeçalho Access-Control-Max-Age.
Conteúdo Popular no Curious-Techie
Guias, matrizes de comparação e ferramentas mais acessadas por desenvolvedores.
SHA-256 vs SHA-512: Architectural Differences & Performance Benchmark
SHA-512 is fundamentally more secure and surprisingly runs faster on modern 64-bit CPUs than SHA-256 due to native 64-bit word operations. Choose SHA-256 for compact output and microcontrollers; choose SHA-512 for high-security applications and 64-bit server pipelines.
JWT vs Session Cookies: Stateless vs Stateful Web Authentication
Use Server Session Cookies for standard monolithic web applications and Single Page Applications sharing a backend domain. Use JWTs for distributed microservices, multi-region API gateways, and short-lived mobile authorization handshakes where database lookups on every request are prohibitive.
Base64 vs Hex
The fundamental difference between Base64 and Hex is storage efficiency versus human readability: Base64 encodes 6 bits per character using a 64-character alphabet, expanding binary data by only 33%. Hex (Base16) encodes 4 bits (a nibble) per character using a 16-character alphabet (0–9, a–f), expanding binary data by 100% (doubling its size).
DNS-over-HTTPS (DoH) vs DNS-over-TLS (DoT): Security & Censorship Comparison
DoH is superior for user privacy and censorship circumvention because its traffic blends inseparably with standard HTTPS web browsing on port 443. DoT is superior for enterprise network administration because dedicated port 853 allows network security teams to inspect or filter queries.
Conteúdo Recentemente Atualizado e Verificado
Auditorias contínuas acompanhando os padrões RFC mais recentes e suporte de navegadores.
RFC 9110 HTTP Semantics & Method Idempotency Audit
Verified Active Standard • IETF HTTP Working Group
W3C Web Cryptography SubtleCrypto Memory Isolation Audit
100% Client-Side V8 Sandbox • W3C Web Security WG
RFC 9562 UUID Version 7 Timestamp-Ordered Entropy Review
Verified Sub-Millisecond Precision • IETF Standards Track
W3C Content Security Policy Level 3 Directive Compliance
Strict Nonce & Hash Verified • W3C Web Application Security
Grafo de Conhecimento e Relações Semânticas
Como ferramentas, padrões, laboratórios e defesas se conectam no ecossistema.
Deconstructs cryptographic claims and Base64URL segments 100% locally in browser memory.
Translates 8-bit octets into 6-bit radix-64 printable characters with zero server telemetry.
Enforces strict cryptographic script nonces and restricts remote script execution domains.
Governs cross-origin HTTP fetch preflights under browser security boundaries.
Encapsulates UDP port 53 DNS queries inside encrypted HTTPS port 443 channels.
Visualizes NFA exponential state branch explosions live without crashing the main thread.