Segurança

Todo o tráfego entre o seu navegador e a Plataforma trafega exclusivamente sobre HTTPS/TLS, com HSTS habilitado para impedir downgrade para conexões não seguras.

Dados em repouso são criptografados pela infraestrutura do Google Cloud. Segredos sensíveis de integrações (credenciais bancárias, tokens) recebem uma camada adicional de criptografia de aplicação com AES-256-GCM antes de serem persistidos.

• Autenticação gerenciada pelo Firebase Authentication, com proteção nativa contra automação e abuso.
• Autenticação de dois fatores (2FA) e verificação adicional (step-up) para operações críticas.
• Controle de acesso baseado em papéis (RBAC) com herança de permissões e segregação de funções (SoD) em fluxos financeiros.
• Isolamento estrito entre empresas (multi-tenant) aplicado tanto na aplicação quanto nas Firestore Rules.

• Content Security Policy (CSP) baseada em nonce, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy e Permissions-Policy aplicados a todas as respostas.
• Rate limiting em endpoints sensíveis para mitigar abuso e automação.
• Validação e sanitização de entrada em todas as APIs, com verificação de tipo de arquivo (magic bytes) em uploads.
• Webhooks autenticados por assinatura HMAC-SHA256.

Mantemos Point-in-Time Recovery e rotinas de backup automatizadas (diárias e semanais), além de proteção contra exclusão acidental do banco de dados, como parte do nosso plano de recuperação de desastres.

Registramos uma trilha de auditoria das ações relevantes na Plataforma e monitoramos eventos de segurança, incluindo tentativas de acesso anômalas e acessos a partir de novos dispositivos.

Se você identificou uma possível vulnerabilidade, agradecemos a comunicação responsável. Pedimos que:

• Reporte o problema para seguranca@ruphus.app com detalhes suficientes para reprodução.
• Não acesse, modifique ou exclua dados de terceiros, e não degrade o serviço (sem testes de negação de serviço).
• Conceda-nos um prazo razoável para correção antes de qualquer divulgação pública.

Comprometemo-nos a analisar os relatos recebidos e a manter você informado sobre o andamento da correção.

• Use senhas fortes e exclusivas e habilite a 2FA.
• Não marque "Manter conectado" em computadores compartilhados ou públicos.
• Conceda a cada colaborador apenas as permissões necessárias (princípio do menor privilégio).