Segurança
A segurança é decidida no servidor, sempre
Cada solicitação é verificada pela nossa API: quem você é, o que você possui e o que tem permissão para fazer. É assim que protegemos sua conta, sua licença e o software que você baixa.
Como protegemos você
Defesa em todas as camadas
Autorização no servidor
A API decide cada sessão, licença, ativação e download. Esconder um botão no navegador nunca é o que protege alguma coisa.
Armazenamento robusto de senhas
As senhas são armazenadas com hash Argon2id. Exigimos no mínimo 15 caracteres e recusamos senhas comuns e senhas que contenham seu endereço de e-mail.
Sessões protegidas
Os cookies de sessão são HttpOnly, então os scripts da página não conseguem lê-los. As sessões terminam após um período de inatividade e após um tempo máximo fixo, e você mesmo pode encerrá-las.
Proteção entre sites
Solicitações que alteram qualquer coisa são recusadas, a menos que venham deste site, mesmo com uma sessão válida.
Tokens desktop de curta duração
O aplicativo desktop funciona com tokens de acesso que expiram após 15 minutos e tokens de atualização que são trocados a cada uso.
Acesso da equipe com dois fatores
A equipe precisa de um código do autenticador para fazer login e de um novo código antes de ações de alto risco. As sessões da equipe também expiram mais cedo.
Downloads privados e verificados
Os instaladores são entregues apenas por links assinados que expiram após 5 minutos, com checksums SHA-256 calculados em nossos servidores.
Trilha de auditoria não editável
As ações sensíveis são registradas em um log de auditoria que o banco de dados não permite que ninguém edite ou exclua. Senhas, chaves e tokens são removidos dos nossos logs.
Políticas rígidas de navegador
Cada página envia uma Content Security Policy com um novo nonce, e outros sites não podem exibir este site dentro de um frame.
Limites atuais em resumo
- Hash de senhas
- Argon2id
- Tamanho mínimo da senha
- 15 caracteres
- Sessões de clientes
- Terminam após 60 minutos de inatividade, no máximo 12 horas
- Sessões da equipe
- Terminam após 15 minutos de inatividade, no máximo 8 horas
- Token de acesso desktop
- 15 minutos
- Link de download
- 5 minutos
- Código de ativação
- 10 minutos
- Link de confirmação de e-mail
- 24 horas, uso único
- Link de redefinição de senha
- 30 minutos, uso único
- Integridade do instalador
- Checksum SHA-256 para cada versão
O que nunca vamos pedir
- Sua senha
- Sua Activation Key
- Códigos de ativação de uso único ou códigos do autenticador
- Links de redefinição de senha ou de confirmação de e-mail