Definição
A superfície de ataque inclui contratos, administração, APIs, dependências, assinadores e recuperação, não apenas telas. Não é uma vulnerabilidade em si, mas local potencial.
Como funciona
Novas permissões e integrações criam caminhos. Uma interface pequena pode ter muitas dependências; contar código não determina risco. Modelagem liga caminhos, ativos e consequências.
Pontos importantes
Reduza permissões e serviços desnecessários, separe funções, inventarie e monitore. Remover do site não impede chamada direta na rede. Observe extensões, aplicativos, backups e recuperação. O objetivo é gerir riscos, não prometer superfície zero.