1. O que é e para que serve

Helmet é uma biblioteca popular para Node.js que ajuda a proteger aplicações web baseadas em Express (ou frameworks compatíveis) contra uma ampla gama de vulnerabilidades web. Ela faz isso configurando vários cabeçalhos HTTP de segurança. Em vez de configurar manualmente cada cabeçalho, o desenvolvedor pode conectar o Helmet e obter "de fábrica" proteção contra ataques como Cross-Site Scripting (XSS), Clickjacking, MIME-type sniffing e muitos outros.

Por que isso é necessário? Os cabeçalhos HTTP são a primeira linha de defesa da sua aplicação. Os navegadores, ao receberem os cabeçalhos corretos, podem bloquear automaticamente ações perigosas. Por exemplo, o cabeçalho X-Content-Type-Options: nosniff impede que o navegador "adivinhe" o tipo MIME da resposta, prevenindo ataques relacionados ao carregamento de scripts maliciosos disfarçados de imagens. Sem o Helmet, o desenvolvedor teria que adicionar manualmente um middleware para cada um desses cabeçalhos, o que é propenso a erros e omissões.

O Helmet não é uma bala de prata e não substitui outras medidas de segurança (validação de entrada, proteção contra SQL injection, uso de HTTPS). No entanto, é um passo crítico e simples para aumentar a segurança de qualquer aplicação Express. A biblioteca é ativamente mantida, tem uma enorme comunidade e é usada em milhares de projetos em todo o mundo.

2. Instalação

A instalação do Helmet é feita através do gerenciador de pacotes npm (ou yarn). Certifique-se de ter o Node.js e o npm instalados.

npm install helmet

Se você usa yarn:

yarn add helmet

Após a instalação, a biblioteca está pronta para uso. Nenhuma dependência adicional é necessária.

3. Início rápido — exemplo mínimo funcional

A maneira mais simples de começar a usar o Helmet é conectá-lo como middleware para toda a aplicação. Isso ativa todos os middlewares padrão que fazem parte do Helmet.

const express = require('express');
const helmet = require('helmet');

const app = express();

// Conecta o Helmet como middleware global
app.use(helmet());

app.get('/', (req, res) => {
  res.send('Olá, mundo seguro!');
});

app.listen(3000, () => {
  console.log('Servidor iniciado em http://localhost:3000');
});

Após executar este código, todas as respostas do seu servidor conterão um conjunto de cabeçalhos HTTP de segurança. Você pode verificar isso abrindo as ferramentas do desenvolvedor no navegador (aba Network) e observando os cabeçalhos de resposta.

4. Principais métodos/funções/classes

O Helmet fornece tanto uma função única helmet(), que inclui todos os middlewares, quanto funções separadas para cada cabeçalho. Isso permite configurar a proteção de forma flexível.

4.1. helmet() (middleware global)

Assinatura: helmet(options?: object)

O que faz: Retorna uma função middleware que define todos os cabeçalhos de segurança padrão. Você pode passar um objeto options para desabilitar ou configurar middlewares individuais.

// Desabilita o cabeçalho Content-Security-Policy, pois vamos configurá-lo manualmente
app.use(helmet({
  contentSecurityPolicy: false,
}));

4.2. helmet.contentSec