Segurança

Nossa abordagem

Segurança não é um recurso. É a base de tudo. Projetamos o Simplest1 com a segurança como princípio central, não como algo pensado depois.

Isolamento de dados

Os dados de cada cliente ficam em seu próprio banco de dados SQLite isolado. Essa arquitetura significa que:

• Nenhum vazamento de dados entre clientes é possível no nível do banco de dados.
• Uma vulnerabilidade em um cliente não pode expor os dados de outro.
• Seus dados podem ser exportados ou excluídos por completo, de forma independente.

Criptografia

• Em trânsito: todas as conexões usam TLS 1.3.
• Em repouso: as cópias de backup ficam no Cloudflare R2, que criptografa os objetos armazenados.
• Senhas: usamos links de acesso, então não há senhas para serem roubadas ou vazadas.

Autenticação

Usamos autenticação sem senha, com links de acesso enviados por e-mail:

• Nenhuma senha para lembrar, reutilizar ou ter roubada.
• Os links de acesso expiram após 15 minutos.
• Cada link só pode ser usado uma vez.
• As sessões do painel duram 30 dias e terminam quando você sai; "Sair de todos os dispositivos" encerra todas de uma vez. As sessões de administração da plataforma duram 24 horas.

Infraestrutura

• Hospedado em infraestrutura de nuvem reforçada.
• Correções e atualizações de segurança regulares.
• Proteção contra DDoS ativada.
• Regras de firewall que restringem acessos desnecessários.

Segurança da aplicação

• Proteção contra CSRF: todos os formulários são protegidos com tokens.
• Prevenção de XSS: toda a saída é escapada por padrão.
• Injeção de SQL: consultas parametrizadas em todo o código.
• Cabeçalhos de segurança: HSTS, X-Frame-Options, nosniff e políticas de referrer e de permissões.
• Limite de requisições: proteção contra ataques de força bruta.

Backups

• Backups contínuos por streaming com o Litestream.
• Recuperação para qualquer ponto no tempo.
• Backups armazenados em locais geograficamente separados.
• Testes regulares de restauração dos backups.

Resposta a incidentes

Em caso de incidente de segurança:

• Notificaremos os usuários afetados em até 72 horas.
• Faremos uma descrição clara do que aconteceu.
• Explicaremos quais dados foram afetados.
• Descreveremos as medidas que estamos tomando para evitar que aconteça de novo.

Divulgação responsável

Se você descobrir uma vulnerabilidade de segurança, informe-nos pelo endereço [email protected]. Valorizamos a divulgação responsável e confirmaremos o recebimento do seu relato em até 48 horas.

Dúvidas

Dúvidas ou preocupações sobre segurança? Entre em contato conosco pelo endereço [email protected].