Classes de arquivo e varredura

Classes de arquivo

A classe vem do conteúdo (magic bytes), nunca da extensão nem do Content-Type enviado.

Classe	Exemplos	Servido como
`image`	png, jpeg, webp, gif, avif	inline, transformável (`?w=`, `?q=`)
`svg`	svg	inline só se passar na varredura de SVG, sempre com CSP restritiva (`default-src 'none'; sandbox`)
`font`	woff2, woff, ttf, otf	inline, CORS `*`
`media`	mp4, webm, mp3, ogg	inline, com `Accept-Ranges`
`document`	pdf, txt, csv, json	download (`Content-Disposition: attachment`); texto sempre `text/plain`
`markup`	html, htm, xhtml, xml	nunca renderiza: download + `text/plain` + CSP `sandbox`
`archive`	zip, tar.gz	download; cifrado ou impossível de varrer é recusado
`binary`	exe, msi, dmg, apk, deb, appimage, desconhecido	download, `application/octet-stream`

As URLs são sem cookies, com X-Content-Type-Options: nosniff; CORS * só para image e font. Não use um arquivo de download (document, markup, archive, binary) como <script>/<iframe>: ele não renderiza por desenho.

Varredura, quarentena e 451

Todo arquivo entra em quarentena e só é publicado depois de clean: antivírus, regras YARA, reputação por hash (só o hash sai da nossa infraestrutura, nunca o conteúdo), decodificação de imagens em sandbox e varredura específica de SVG. Nada é publicado antes de clean.
Detectado ⇒ recusado (422), com auditoria. A amostra não é guardada.
Se o scanner estiver fora do ar, o upload fica pending (202) e não é publicado (fail-closed).
Nova varredura diária de tudo que está publicado, com as assinaturas do dia. Um arquivo que passou ontem pode ser detectado hoje: ele muda para quarantined, sai do ar (a CDN passa a responder 451), o cache é purgado e o time é avisado. Em sistemas que dependem de uma URL, trate 451 como “indisponível por motivo de segurança”: não insista, avise uma pessoa. Consulte scan.status / scan.reason no detalhe do arquivo.

Por que meu SVG foi recusado e como reexportar

O SVG é um arquivo ativo (pode conter script), então só publicamos SVG estático, sem limpar nem alterar nada: o que vai ao ar é o arquivo exatamente como você enviou. O 422 svg_unsafe traz reasons[] com códigos do scanner; a orientação é a mesma que o painel mostra:

Se o motivo for…	O que significa	Como resolver
script, eventos ou links externos (`script_element`, `event_handler_attr`, `dangerous_scheme`, `external_or_unsafe_url`, `xml_base`, `form_element`, `embed_element`, `media_element`, `link_meta_element`, …)	O SVG contém script, atributos de evento (`onclick`, `onload`…) ou referências a URLs externas.	Remova scripts/`onclick` e referências a URLs externas. Só aceitamos SVG estático.
CSS externo (`style_type`, `css_*`)	O CSS do SVG referencia recursos externos ou ativos (`url()` externo, `@import`, `expression`).	Use estilos sem `url()` externo.
imagem embutida (`data_uri_not_allowed`, `data_uri_magic_mismatch`)	Imagem embutida não permitida.	Só PNG/JPEG/GIF/WebP em base64 são aceitos como imagem embutida.
Illustrator / HTML embutido (`foreign_namespace_element`, `html_element`, `ns_forbidden`, `ns_prefix_spoof`, `metadata_ns_outside_metadata`)	O SVG foi salvo com “Preservar recursos de edição do Illustrator” ou contém HTML embutido.	No Illustrator: Arquivo → Exportar → Exportar para telas (SVG), ou Salvar como SVG desmarcando “Preservar recursos de edição”.
DOCTYPE/ENTITY antigo (`doctype_entity`, `doctype_internal_subset`, `doctype_not_allowed`, `doctype_too_long`, `directive_not_allowed`, `processing_instruction`)	O SVG tem um cabeçalho `<!DOCTYPE …>` / `<!ENTITY …>` antigo.	Reexporte como SVG 1.1 (Illustrator: Exportar para telas; Inkscape: Salvar como → SVG otimizado) ou remova o bloco `<!DOCTYPE …>`.
tamanho (`too_large`, `too_deep`, `too_many_elements`, `too_many_attrs`, `name_too_long`, `css_too_large`)	O SVG é grande ou complexo demais.	Simplifique/otimize (ex.: SVGO) e envie de novo.
formato (`xml_malformed`, `no_root`, `not_svg_root`, `multiple_roots`, `text_outside_root`, `duplicate_attribute`, `odd_attr_name`, `odd_element_name`, `deprecated_element`, `attr_namespace`, `style_element`)	O arquivo não é um SVG válido ou bem formado.	Reexporte do editor.

Quando houver vários motivos, resolva primeiro os de segurança (script/eventos/links, CSS, imagem embutida), depois os de exportação (Illustrator, DOCTYPE), depois tamanho e formato. Códigos que não estão na tabela: reexporte como SVG 1.1 estático e, se persistir, denuncie o problema ao time com o reasons recebido.