Superfície oculta /⏳
Só leitura — não altera nada no alvo. Só em alvo seu ou autorizado por escrito.
Os passos
6.1 Rotas no bundle: extraia chunks (curl -s "$BASE/" | grep -oE '/_next/static/chunks/[^"]+\.js'), baixe e busque "/api/..." → mapa de endpoints ⏳.
6.2 Sourcemaps: HEAD em cada chunk + .map → nenhum exposto ✅.
6.3 Enumeração por método: curl -X DELETE "$BASE/api/feed" → 405 = existe · 404 = não existe ✅.
6.4 Arquivos clássicos: .env .env.local .git/HEAD package.json backup.sql → todos 404 ✅.
entre para marcar este exercício como feito.