Atualização de segurança — Object Storage S3

1. Visão geral

Haverá uma atualização de segurança no ambiente de Object Storage em 01 de janeiro de 2027. A mudança reforçará a validação das assinaturas de requisições S3, com atenção especial aos cabeçalhos HTTP incluídos nas operações autenticadas.

Para integrações que já seguem corretamente os requisitos de assinatura AWS Signature Version 4 (SigV4), não são esperadas alterações de funcionamento. Aplicações próprias, ferramentas legadas e integrações que montam ou modificam requisições manualmente devem ser verificadas.

2. Quem precisa avaliar o impacto?

• Aplicações desenvolvidas internamente que consomem a API S3.
• Sistemas que geram URLs pré-assinadas para upload ou download.
• Ferramentas antigas ou integrações que alteram cabeçalhos HTTP após a assinatura.
• Implementações próprias de assinatura SigV4.

Clientes que utilizam SDKs oficiais da AWS ou soluções de mercado atualizadas, sem alterar cabeçalhos após a assinatura, em geral não precisarão de ajustes. Ainda assim, recomendamos confirmar a compatibilidade com o fornecedor responsável.

3. O que muda na validação das requisições?

Após a atualização, as requisições autenticadas por SigV4 deverão atender aos seguintes requisitos:

• O cabeçalho Host deverá integrar os cabeçalhos assinados.
• Todos os cabeçalhos x-amz-* enviados na requisição deverão estar contemplados na assinatura.
• Requisições com cabeçalhos x-amz-* enviados sem assinatura serão recusadas, inclusive em operações como criação de bucket.
• Não adicionar, remover ou alterar cabeçalhos assinados depois de gerar a assinatura.

4. Atenção especial: URLs pré-assinadas

Em uploads realizados por URLs pré-assinadas, os cabeçalhos x-amz-* que serão enviados pelo cliente HTTP (por exemplo, x-amz-acl ou x-amz-meta-*) devem ser conhecidos e considerados no momento da geração da URL. Os valores enviados precisam corresponder aos utilizados no processo de assinatura, conforme o caso.

Exemplo: se uma aplicação gera uma URL para upload e o navegador adiciona x-amz-meta-origem somente no momento do envio, a requisição poderá ser recusada caso esse cabeçalho não tenha sido incluído na assinatura.

5. Como validar sua integração

1. Identifique a ferramenta, SDK ou código responsável pelo acesso ao Object Storage.
2. Confirme que o mecanismo de assinatura é SigV4 e que Host e os cabeçalhos x-amz-* enviados estão assinados.
3. Revise fluxos com URLs pré-assinadas, especialmente uploads com ACLs ou metadados personalizados.
4. Teste as operações utilizadas pela aplicação (upload, download, listagem e criação de bucket, quando aplicável).
5. Caso identifique incompatibilidade, ajuste a implementação ou acione o fornecedor antes de 15/12/2026.

6. Ambiente de testes e suporte

Disponibilizaremos, mediante solicitação ao suporte, um ambiente de testes com as novas regras de validação. Recomendamos utilizá-lo antes da atualização em produção para verificar os fluxos críticos.

Para solicitar acesso ou esclarecer dúvidas, entre em contato pelos canais habituais: portal de suporte ou telefone.

7. Perguntas frequentes

Meu backup ou aplicativo S3 vai parar de funcionar?

Não são esperados impactos para soluções compatíveis que assinam corretamente suas requisições. Aplicações legadas ou personalizadas devem ser testadas.

Preciso trocar minhas credenciais ou endpoints?

Esta comunicação não prevê troca de credenciais ou endpoints, o foco é a validação da assinatura das requisições.

Até quando devo concluir a avaliação?

Recomendamos concluir a verificação até 15 de dezembro de 2026, antes da atualização programada para 01 de janeiro de 2027.