Segurança não é uma funcionalidade que adicionamos depois — está incorporada em cada camada de nossa arquitetura. Seguimos princípios de defesa em profundidade, assumindo que qualquer camada única pode ser comprometida.
Métodos de Autenticação
Suportamos múltiplos métodos de autenticação para equilibrar segurança com conveniência do usuário:
- E-mail/Senha: Com requisitos de senha forte, detecção de violação e políticas de bloqueio de conta.
- Magic Links: Login sem senha via OTP por e-mail para redução de exposição de credenciais.
- OAuth: Integração com Google e GitHub pelo Supabase, aproveitando sua infraestrutura de segurança.
- SSO Enterprise: SAML 2.0, OAuth 2.0 e OpenID Connect para identidades gerenciadas pela organização.
- WebAuthn: Chaves de segurança de hardware e autenticação biométrica usando o padrão FIDO2.
- MFA: TOTP, SMS, e-mail e WebAuthn como segundo fator com códigos de backup para recuperação.
Proteção CSRF
A falsificação de requisições entre sites é prevenida por múltiplos mecanismos:
- Geração de token usando crypto.getRandomValues()
- Tokens incluídos nos headers X-CSRF-Token
- Armazenamento baseado em sessão com expiração de 1 hora
- Validação do header X-Requested-With
- Atributos SameSite nos cookies
Headers de Segurança
Cada resposta inclui headers de segurança abrangentes:
- X-Frame-Options: DENY — Previne clickjacking
- X-Content-Type-Options: nosniff — Impede MIME sniffing
- Strict-Transport-Security — Força HTTPS com preload
- Content-Security-Policy — Restringe origens de recursos
- Referrer-Policy: strict-origin-when-cross-origin
- Permissions-Policy — Nega geolocalização, câmera, microfone
Limitação de Taxa
Implementamos limitação de taxa em camadas para prevenir abuso enquanto permitimos tráfego legítimo:
- Tentativas de login: 5 tentativas por 15 minutos antes do bloqueio
- Endpoints de API: Limites por chave baseados no tier de assinatura
- Endpoints de rastreamento: Limites mais altos para acomodar picos de tráfego
- Reputação de IP: Bloqueio automático de atores maliciosos conhecidos
Gerenciamento de Chaves de API
O acesso externo à API é controlado por chaves de API com escopo:
- As chaves são criptografadas em repouso no banco de dados
- Limitação de taxa e rastreamento de uso por chave
- Permissões com escopo (acesso total vs específico por site)
- Capacidade de revogação instantânea
- Opções de expiração automática
Registro de Auditoria
Mantemos trilhas de auditoria abrangentes para segurança e conformidade:
- Todos os eventos de autenticação (login, logout, tentativas falhas)
- Mudanças de configurações com valores antes/depois
- Criação e revogação de chaves de API
- Mudanças de membros de equipe
- Eventos de faturamento e mudanças de assinatura
Conformidade com privacy regulations
Privacidade é uma funcionalidade central do produto, não um complemento:
- Funcionalidade de exportação de dados para solicitações de usuários
- Direito à exclusão com purga completa de dados
- Períodos de retenção de dados configuráveis
- Sem rastreamento cross-site ou cookies de terceiros
- Opções de anonimização de IP
- Gerenciamento de consentimento de cookies