Segurança da informação

• Hospedagem em ambiente cloud no Brasil e na Europa, fora de clusters de hiperescala compartilhados;
• Tráfego protegido por Cloudflare (WAF, mitigação de DDoS, TLS);
• Criptografia em trânsito (TLS 1.3) e criptografia em repouso;
• Isolamento de dados por organização (multi-tenant);
• Autenticação multifator obrigatória para administradores;
• Segredos e credenciais gerenciados via Infisical (zero hardcode);
• Logs de auditoria retidos por 12 meses;
• Programa de divulgação responsável ativo via [email protected].

Operamos em ambiente cloud no Brasil e na Europa, organizado em clusters Kubernetes. Não utilizamos nuvens de hiperescala compartilhadas. O tráfego de entrada é roteado e filtrado pela Cloudflare (WAF, rate limiting, proteção DDoS) antes de chegar à nossa infraestrutura.

Os dados de cada cliente são isolados por organização (multi-tenant), sem cruzamento entre contas. Hosts são imutáveis (containers), atualizados via pipeline de CI/CD com GitOps (ArgoCD). Não há acesso SSH direto a produção por processos automatizados; toda intervenção humana é registrada.

• Em trânsito: TLS 1.3 com cipher suites modernas (AEAD). HSTS habilitado. Gerenciamento de certificados via Cloudflare;
• Em repouso: volumes de banco de dados e backups criptografados;
• Segredos: Infisical como cofre centralizado de segredos, com controle de acesso por projeto e ambiente;
• Senhas: Bcrypt/Argon2id com salt único por credencial.

Aplicamos princípio de menor privilégio. Acessos a sistemas críticos exigem MFA. Provisionamento e desprovisionamento seguem fluxo formal. Revisão periódica de permissões.

• Snapshots automáticos de infraestrutura (retenção configurável);
• Backups de banco de dados criptografados, com rotação periódica;
• Plano de recuperação de desastres com priorização de serviços críticos;
• Testes de restauração periódicos.

Telemetria centralizada via Grafana (dashboards), Prometheus (métricas) e Loki (logs). Alertas configurados para anomalias de desempenho e segurança. Logs de auditoria de aplicação retidos por 12 meses; logs de sistema, 6 meses (Marco Civil, art. 15).

Plano de resposta documentado, com papéis definidos (resposta a incidentes, comunicação, jurídico, DPO) e classificação prioritária de eventos. Em incidentes com dados pessoais, comunicação à ANPD e aos titulares conforme nossa política LGPD.

Todos os fornecedores que processam dados pessoais passam por análise de segurança e privacidade antes da contratação. Reavaliação anual obrigatória para fornecedores críticos.

Pesquisador de segurança? Manda bala. Recompensamos relatos válidos.

• E-mail: [email protected]
• Resposta inicial: em até 48h úteis