Segurança

Cada registro sensível tem a sua chave de dados, embrulhada pela chave-mestra no módulo de chaves. Decifrar um registro não abre nenhum outro.

A decifragem privilegiada só acontece num serviço separado, com perfil próprio na nuvem; a aplicação que atende a API não tem esse direito.

Toda decifragem privilegiada entra numa trilha só de acréscimo, com cadeia de hash. Um auditor com a série detecta remoção.

ECDSA P-256 no módulo de chaves; a chave privada nunca sai. A política da chave dá o direito de assinar só ao serviço que emite recibos, e o de ler a pública à aplicação. A pública é publicada como JWKS.

A presença viva vem de um componente certificado da AWS, declarado no recibo com a versão. O opt-out do uso de dados para treino de IA, a política da chave e as permissões foram conferidos no console da nuvem e registrados com data.

Segurança por linha real no Postgres, com um papel de aplicação que não pode contorná-la. Uma consulta sem cliente não devolve nada.

Chaves de API por cliente e por escopo. Sessões do painel com MFA por aplicativo e códigos de recuperação, semente cifrada em repouso, login com endurecimento e limite de tentativas.

O console de operação da Hummand tem sessão curta e MFA delegado ao acesso da borda.

Apagar é a única operação irreversível: tem escopo próprio, que nenhuma integração recebe por padrão. Na prática, quem apaga é a sessão do painel, a pedido do titular.

Hoje nenhum endpoint distingue o papel de quem chama: qualquer usuário autenticado do cliente convida, remove e apaga. Papéis por nível estão previstos e substituem o campo atual. Declarado, não escondido.

Apagar um registro é destruir a sua chave de dados: o texto cifrado fica irrecuperável. Por pedido, pelo ato ou pela referência do cliente, ou por prazo de retenção, com uma varredura a cada seis horas.

Veredito e CPF cifrados: 90 dias. Evidência de consentimento e trilha de eventos: cinco anos. Imagens e biometria: nunca retidas; é invariante do produto, não configuração.

TLS automático, HSTS com subdomínios, proteção contra sniffing de tipo. Acesso com credenciais só para o painel, o túnel e o console. Cada release aplica a migração antes do app novo, com backup antes.

Limite de requisições em memória, numa instância; sem mTLS entre serviços; segredos ainda em arquivo de ambiente no host; sem telemetria distribuída; restauração de backup ainda não ensaiada; sem threat model da produção nem pentest externo.

Limite distribuído e mTLS são pré-requisitos de contrato; o resto é a fase de disciplina do plano, ainda não iniciada.

Achou algo? Escreva para security@hummand.com.br com o assunto "Divulgação responsável". O endereço também está em /.well-known/security.txt.