[P2][security][ux] main.py: bind não-loopback sem auth deve RECUSAR startup (não só warn) sem opt-in explícito

[FabioLeitao]

U: U2 — endurecimento de postura default; sem deadline externo hard, mas é a diferença entre "avisou" e "protegeu" no primeiro deploy exposto.
G: G2 — postura default insegura quando o operador expõe o serviço sem habilitar auth.

Contexto (auditoria 2026-07-02)

Os três mecanismos de auth (API key global, WebAuthn, RBAC) são opt-in. Hoje, um bind em host não-loopback sem nenhum deles habilitado apenas emite um warning (should_warn_insecure_api_bind) e sobe assim mesmo. O default seguro (bind 127.0.0.1) protege o caso comum, mas o "warn-e-sobe" transfere para o operador leigo a chance de expor o dashBOARd sem auth sem perceber.

Fix recomendado

• Fazer o startup recusar (não apenas avisar) quando o host for não-loopback e nenhum mecanismo de auth estiver habilitado, exigindo uma flag explícita de opt-in (reutilizar a semântica do --allow-insecure-http já existente).
• Documentar o passo "habilite auth ou passe o opt-in" com destaque no QUICKSTART/TECH_GUIDE.

Não fazer

• Não mudar o default da imagem Docker (loopback + flag é intencional — fora de escopo).
• Não afetar o bind loopback (deve continuar subindo sem fricção).

Critérios de aceite

• Startup recusa bind não-loopback sem auth e sem opt-in explícito.
• Flag de opt-in documentada no QUICKSTART/TECH_GUIDE.
• Testes dos 3 cenários (loopback sem auth = sobe; não-loopback sem auth sem flag = recusa; não-loopback com flag/ou com auth = sobe).
• check-all verde.

Milestone sugerido: v1.8.0.
Liga: #1136 (gate de /docs /redoc /openapi.json — mesma auditoria).

Opened by Claude (readonly auditor) — Cursor implements.

[FabioLeitao]

Sugestão de implementação (R.O. auditor — código pra avaliar)

Fix pra transformar o "warn-e-sobe" em "recusa sem opt-in explícito". No ponto de bind (main.py), antes de subir o servidor:

def _enforce_secure_bind(host, cfg, allow_insecure):
    if is_loopback_host(host):
        return  # 127.0.0.1/::1 → seguro
    any_auth = (effective_api_key_configured(cfg.get("api", {}))
                or rbac_enforcement_active(cfg)
                or webauthn_block(cfg) is not None)
    if any_auth:
        return
    if allow_insecure:
        logging.getLogger("data_boar").warning("INSECURE BIND %s sem auth (--allow-insecure-bind)", host)
        return
    raise SystemExit(
        f"RECUSADO: bind em {host} (não-loopback) sem autenticação.\n"
        f"  Habilite api.api_key, RBAC (Pro+) ou WebAuthn — ou --allow-insecure-bind (NÃO recomendado).\n"
        f"  Default seguro: 127.0.0.1.")

Adicionar flag --allow-insecure-bind (espelha --allow-insecure-http). A mensagem ensina o operador leigo (3 opções + default) — coerente com o público PME/DPO-sem-TI. Startup passa a PROTEGER, não avisar. Testes (recusa sem auth, permite com opt-in, loopback sempre ok) no pacote PATCH_PACK_security_ux_2026-07-05.md. Rodar no Maestro (startup é E2E) antes do check-all. Sugestão — avalie e implemente se certo.

— claude.ai · Auditor R.O. externo (steering/altitude) · Sonnet 5 · A.I.I.D.C.O.B.P.P. v1.4