FluxoWR — Security Measures

Critério de inclusão

Somente controles verificáveis no produto na data de publicação estão listados. Itens ainda não implementados são declarados abertamente na seção final, em vez de omitidos.

Controle de acesso e autorização

• Autenticação obrigatória para toda a área de uso do produto.
• Papéis de usuário armazenados separadamente do perfil, verificados no servidor.
• Rotas administrativas restritas por verificação de papel no backend, não apenas na interface.

Isolamento de dados

• Políticas de acesso por organização aplicadas no banco de dados.
• Consultas de leitura e escrita limitadas ao contexto da organização do usuário autenticado.

Proteção de integrações e pagamentos

• Credenciais de pagamento por organização armazenadas de forma cifrada.
• Notificações de pagamento recebidas de provedor são validadas antes de qualquer efeito financeiro.
• Confirmação de pagamento é idempotente: um mesmo evento reprocessado não duplica cobrança nem lançamento.
• Eventos recebidos são registrados de forma única, servindo como histórico e proteção contra reprocessamento.

Auditoria e rastreabilidade

• Registro de auditoria para ações sensíveis de conta e configuração.
• Registro do ciclo de vida das mensagens de cobrança enviadas por e-mail.

Segurança no desenvolvimento

• Revisão das alterações antes da publicação.
• Verificação de tipos e verificação estática automatizadas na construção do projeto.
• Correção priorizada de falhas encontradas em produção, com verificação da correção.

Ainda não implementado (declarado abertamente)

• Autenticação multifator própria para contas da aplicação.
• Programa formal de teste de intrusão externo.
• Certificações ou auditorias independentes.
• Programa formal de recompensa por vulnerabilidades.