1. Transporte e criptografia
Todo o tráfego da aplicação e das APIs usa HTTPS com TLS; requisições em HTTP são redirecionadas. Banco de dados, arquivos e backups ficam criptografados em repouso pela infraestrutura gerenciada. Arquivos de mídia estão em buckets privados e só são acessíveis por links assinados com validade limitada.
2. Autenticação e senhas
Senhas nunca são armazenadas em texto claro: o provedor de autenticação guarda apenas hash com salt (bcrypt). Também oferecemos login com Google. A troca de senha exige a senha atual, e a recuperação usa link temporário enviado por email. Sessões usam tokens de curta duração com renovação automática.
Recomendação para contas administrativas: usar login Google com verificação em duas etapas ativada na conta Google, que é hoje o segundo fator disponível para a equipe. MFA nativo por app autenticador está no roteiro.
3. Perfis de acesso (RBAC) e isolamento
O acesso é controlado por papéis: administrador da plataforma, gestor e membro; dentro de cada workspace, owner, admin, editor e viewer. Papéis ficam em tabela dedicada e são verificados no servidor — nunca no navegador.
Cada registro pertence a um workspace e é filtrado por políticas de segurança em nível de linha no banco de dados, o que impede que um cliente leia ou altere dados de outro. Os arquivos seguem a mesma regra, restritos à pasta do próprio usuário.
4. Segredos e ambientes
Chaves de API e credenciais ficam em cofre de variáveis de ambiente do backend, fora do código e fora do bundle do navegador; o repositório não contém segredos. Operações privilegiadas rodam apenas em funções de servidor. Preview e produção usam builds e URLs separadas, permitindo validar mudanças antes de publicar.
5. Validação de entradas e proteção da API
Toda função de servidor valida a entrada antes de executar, exige token de sessão válido nas rotas autenticadas e verifica papel do usuário em ações administrativas. Endpoints públicos verificam assinatura do chamador. A borda de rede aplica proteção contra tráfego abusivo e limitação de taxa; ações de IA também são limitadas pelo saldo de créditos do workspace.
6. Logs, auditoria e monitoramento
Registramos ações relevantes do produto (criação, geração, publicação e consumo de créditos) com autor, workspace e data, além de logs técnicos de erro. Senhas, tokens e conteúdo sensível não são gravados em logs. O acesso da equipe a dados de produção é restrito a quem precisa operar o serviço.
7. Backups e continuidade
O banco de dados tem backups automáticos diários com retenção pela infraestrutura gerenciada, e a restauração é validada periodicamente em ambiente separado antes de qualquer uso em produção.
8. Desenvolvimento seguro
Mudanças passam por revisão antes de publicação, com verificações automáticas de tipos e lint, varredura de segredos, varredura de dependências e análise estática do código e das políticas de banco. Dependências são atualizadas com regularidade. Usamos OWASP ASVS e OWASP API Security Top 10 como referência de controles.
9. Resposta a incidentes
- Detecção por alerta, log ou relato externo e abertura do registro.
- Contenção: revogar chaves e sessões, isolar o recurso afetado.
- Avaliação de escopo, dados envolvidos e risco aos titulares.
- Comunicação aos afetados e à ANPD nos prazos legais quando houver risco relevante.
- Correção definitiva e revisão pós-incidente documentada.
10. Reportar vulnerabilidade
Encontrou uma falha? Escreva para seguranca@lefil.com.br com passos de reprodução. Pedimos que não acesse dados de terceiros nem execute testes destrutivos. Assuntos de privacidade seguem pela Central de Privacidade e LGPD.