fix(security): corrige achados da varredura — render, brute-force, upload, WYSIWYG, cookie, sessões

1. /api/render: cap de 512 KiB na entrada (amplificação ~2× medida);
   decodeJSON agora amarra http.MaxBytesReader ao ResponseWriter (413
   real ao cliente em todos os endpoints JSON)
2. Login com rate-limit por IP em memória (5 falhas/15 min → 429, acerto
   reseta, RemoteAddr puro — X-F-F não é confiável) + log de falha com IP
3. Upload: MaxBytesReader no corpo inteiro (64 MiB + 64 KiB) antes do
   parse do multipart; quota global de 2 GiB (MaxFilesTotalBytes) em AddFile
4. sanitizeRich neutraliza href/src com javascript:/vbscript:/data:
   (case/whitespace-insensível); link legítimo preservado
5. Cookie Secure passa a ser configuração explícita (NOTES_SECURE_COOKIE)
   — X-Forwarded-Proto é spoofável; documentado em .env.example e compose
6. Cookie agora carrega id de sessão opaco (crypto/rand 32B, TTL 30d,
   revogação no logout e no restart); token mestre só vale via Bearer —
   furo pego pelo próprio teste novo (token no cookie era aceito)
   Testes: rate-limit, revogação, canais separados, render 413, upload cap
   sw v16

web/js/app.js

@@ -1407,6 +1407,13 @@
     doc.body.querySelectorAll('*').forEach((n) => {
       for (const a of [...n.attributes]) if (/^on/i.test(a.name)) n.removeAttribute(a.name);
     });
+    // href/src com esquema perigoso (javascript:, data:text/html, vbscript:…)
+    // não executam inline, mas um clique/copy basta para o vetor — neutra
+    doc.body.querySelectorAll('[href],[src]').forEach((n) => {
+      const attr = n.hasAttribute('href') ? 'href' : 'src';
+      const v = n.getAttribute(attr);
+      if (v && /^[ \t\r\n]*(javascript|vbscript|data)[ \t\r\n]*:/i.test(v)) n.setAttribute(attr, '#');
+    });
     return doc.body.innerHTML;
   }
 

web/sw.js

@@ -1,7 +1,7 @@
 /* Service Worker do Notas — caches versionados.
  * BUMP de CACHE em todo deploy que mude shell/assets (o activate limpa os antigos).
  */
-const CACHE = 'notas-shell-v15';
+const CACHE = 'notas-shell-v16';
 const SHELL = [
   '/',
   '/css/app.css',