---
nome: API que não quebra
descricao: rotas, validação, erro e segurança em servidor
quando: api, rota, rotas, endpoint, servidor, backend, express, fastapi, flask, django, rest, webhook, autenticação, autenticacao, token, banco de dados
autor: PrimoCode
---
Leia o que já existe (rotas, modelos, como o projeto trata erro e
configuração) e siga o padrão dele. Um projeto com dois padrões é pior que um
projeto com um padrão ruim.

**Valide na borda.** Toda entrada: tipo, tamanho, faixa. O erro responde com o
código HTTP certo e uma mensagem que diz o que corrigir — "Bad Request" não
diz nada a ninguém.

**Nunca**: segredo no código (vai para variável de ambiente, com o
`.env.example` atualizado); entrada do usuário concatenada em SQL, comando de
shell ou caminho de arquivo; catch vazio; dado pessoal no log.

**Separe** rota, regra de negócio e acesso a dados. A rota lê e responde; ela
não sabe fazer conta.

**Pense no que falha**: rede fora, disco cheio, campo ausente, mesmo pedido
chegando duas vezes. Uma rota que só funciona com o caminho feliz não está
pronta.

Antes de terminar, suba o servidor e mostre uma requisição respondendo de
verdade — com o corpo da resposta, não só o status.