Infraestrutura
- Deploy containerizado com Docker via Kamal
- Data centers Hetzner na UE (Alemanha)
- Criptografia TLS/SSL via Let's Encrypt
- Proxy reverso Thruster com cache HTTP
- Execucao de container sem privilegios root
Criptografia de Dados
- Tokens OAuth criptografados em repouso (Active Record Encryption)
- TLS 1.2+ para todos os dados em transito
- Hash de senhas com bcrypt com fatores de custo apropriados
- Nenhuma credencial armazenada em texto simples
- Backups de banco de dados criptografados
Controles de Acesso
- Acesso baseado em funcoes (Admin, Gerente, Especialista, Visualizador)
- Permissoes por workspace de cliente
- Gerenciamento seguro de sessoes com expiracao
- Fluxo de convite de equipe com verificacao por token
- Trilha de auditoria para acoes administrativas
Seguranca da Aplicacao
- Protecao CSRF em todas as requisicoes que alteram estado
- Prevencao de SQL injection via consultas parametrizadas
- Protecao XSS com escape automatico de saida
- Headers de Content Security Policy
- Auditorias regulares de dependencias (bundler-audit, Brakeman)
Seguranca de Terceiros
Integramos com servicos de terceiros confiaveis que mantem seus proprios rigorosos padroes de seguranca:
- APIs da Meta — Todos os payloads de webhook sao verificados por meio de validacao de assinatura para garantir autenticidade
- Stripe — Certificado PCI DSS Nivel 1. Nunca armazenamos, processamos ou transmitimos dados de cartao em nossos servidores
- MercadoPago — Compativel com PCI DSS. Dados de pagamento sao tratados inteiramente pela infraestrutura segura deles
Resposta a Incidentes
No caso de um incidente de seguranca:
- Deteccao — Monitoramento continuo e alertas para atividades suspeitas
- Investigacao — Avaliacao imediata do escopo, impacto e causa raiz
- Notificacao — Clientes afetados serao notificados em ate 72 horas, em conformidade com o GDPR e regulamentos aplicaveis
- Remediacao — Acao rapida para conter, resolver e prevenir recorrencia
Divulgacao Responsavel
Valorizamos o trabalho de pesquisadores de seguranca. Se voce descobrir uma vulnerabilidade em nossa plataforma, por favor reporte de forma responsavel. Nos comprometemos a confirmar o recebimento do seu relatorio em ate 48 horas e a trabalhar com voce para resolver o problema.