Segurança

Política de segurança

Como tratamos os dados do órgão e como reportar um problema.

Reportar vulnerabilidade

resposta em até 5 dias úteis

Envie para [email protected] com o passo a passo para reproduzir. Não abra issue pública e não teste em dado de cliente real.

Compromisso: confirmamos o recebimento em até 2 dias úteis, informamos a correção e creditamos o relato se você quiser.

Controles aplicados

versão 2026.1

Acesso

Senha com Argon2id; verificação em tempo constante, sem revelar se o e-mail existe.
Verificação em dois fatores (TOTP) com segredo cifrado e códigos de recuperação.
Redefinição de senha por link de uso único, válido por 60 minutos.
Sessão em cookie HttpOnly, SameSite=Lax, Secure em produção, com expiração por ociosidade.
Limite de tentativas por e-mail e por IP, persistido no banco.
Chave de API guardada só como SHA-256, revogável a qualquer momento.
Link do portal da OSC com validade e rotação a pedido do órgão.

Integridade dos dados

Todo documento enviado recebe SHA-256 conferido no download.
Toda mutação grava linha em audit_log com ator, ação e horário.
Isolamento por órgão: dado de outro tenant responde 404, nunca 403.

Aplicação e infraestrutura

CSRF de dupla submissão em todo formulário.
Upload validado por assinatura do arquivo, não pela extensão; HTML e SVG recusados.
Download sempre como anexo, com nosniff.
CSP sem script inline, HSTS, X-Frame-Options DENY, Referrer-Policy no-referrer.
Origem fechada atrás do Cloudflare (túnel), sem porta publicada.
Backup diário do banco e dos documentos, com checksum.

O que ainda não fazemos

Assinatura digital ICP-Brasil do dossiê está no roteiro: hoje o dossiê é selado com SHA-256 e carimbo de tempo interno, sem certificado. A recuperação de senha por e-mail exige SMTP/Resend configurado; sem isso, o administrador do órgão usa rastrogov user-reset. Publicamos esta lista porque prefere-se um cliente que sabe o que falta a um que descobre depois.