Segurança

Última atualização: 16 de marco de 2026

1. Compromisso com Segurança

O sh0 leva segurança a sério. Implementamos práticas lideres do setor para proteger seus dados, contas e aplicações implantadas contra acesso não autorizado, modificação e divulgação.

2. Segurança da Arquitetura

2.1 Segurança de Rede

TLS 1.3: Todos os dados em trânsito criptografados com o padrão mais recente
HSTS: HTTP Strict Transport Security ativado
CORS: Cross-Origin Resource Sharing configurado com segurança
WAF: Web Application Firewall para prevenir ataques
Proteção DDoS: Mitigação de DDoS pela Cloudflare
Limitação de Taxa: Limitação de taxa de API para prevenir abuso

2.2 Segurança de Infraestrutura

Provedores: Contabo e Hetzner (certificados ISO 27001)
Firewalls: Firewalls de hardware e software configurados
Segmentação de Rede: Redes separadas para diferentes serviços
Isolamento de Containers: Cada deploy roda em seu próprio container isolado
Sistemas de Backup: Backups isolados e criptografados com retenção configurável

3. Autenticação e Autorização

3.1 Segurança de Senha

Hash: Argon2 com salt para todas as senhas
Requisitos Mínimos: 8+ caracteres, maiúsculas e minúsculas, números/simbolos
Redefinição de Senha: Redefinição de senha segura baseada em token (validade de 1 hora)
Sem Armazenamento: Nunca armazenamos senhas em texto simples

3.2 Autenticação de Dois Fatores (2FA)

TOTP: Senha Única Baseada em Tempo (Google Authenticator, Authy)
Códigos de Backup: Códigos de recuperação para restauração de conta
Recomendado: Disponível para todos os usuários, obrigatório para acesso admin

3.3 Gerenciamento de Sessão

Tokens JWT: Assinados, expiram em 24 horas
Tokens de Atualização: Rotação segura de tokens de atualização
Timeout de Sessão: Logout automático após 30 minutos de inatividade
Sessões Simultâneas: Limite para prevenir acesso não autorizado
Cookies Seguros: Flags HttpOnly, Secure, SameSite

4. Criptografia de Dados

4.1 Em Trânsito

Protocolo: TLS 1.3 (mínimo)
Certificado: SSL automático via Caddy (Let's Encrypt / ZeroSSL)
Sigilo perfeito antecipado (PFS): Ativado (chaves efêmeras)

4.2 Em Repouso

Algoritmo: Criptografia AES-256-GCM
Segredos: Todos os segredos, chaves de API e variáveis de ambiente criptografados
Banco de Dados: SQLite com criptografia de disco completo no armazenamento
Gerenciamento de Chaves: Chaves armazenadas separadamente dos dados usando a biblioteca de criptografia ring

4.3 Chaves de Criptografia

Geração de Chaves: Geração aleatória criptograficamente segura
Rotação de Chaves: Rotação anual para chaves de longa duração
Controle de Acesso: Restrito apenas a sistemas autorizados

5. Segurança de Aplicação

5.1 Segurança de Código

OWASP Top 10: Mitigações para todas as vulnerabilidades comuns
Validação de Entrada: Validação rigorosa em todas as entradas
Injeção SQL: Consultas parametrizadas via rusqlite
Prevenção de XSS: Content Security Policy (CSP) ativada
Proteção CSRF: Tokens CSRF em todas as requisições que alteram estado

5.2 Gerenciamento de Dependências

Varredura de Vulnerabilidades: cargo-audit para dependências Rust
Fixação de Versão: Produção usa versões travadas (Cargo.lock)
Segurança da Cadeia de Suprimentos: Apenas pacotes verificados

5.3 Tratamento de Erros

Mensagens de Erro Seguras: Sem informações sensíveis nas respostas de erro
Registro: Erros registrados com segurança via tracing sem expor dados
Stack traces: Ocultos em produção
Monitoramento: Alertas em tempo real para anomalias

6. Segurança de API

Chaves de API: Criptografadas, com escopo definido, rotáveis
Limitação de Taxa: Limites por usuário e por IP
Verificação de Assinatura: HMAC-SHA256 para autenticidade de webhooks
Tokens Bearer: Autenticação baseada em JWT para todas as chamadas de API

7. Segurança de Containers

Containers Não-Root: Todos os containers rodam como não-root por padrão
Isolamento de Rede: Redes Docker isolam stacks umas das outras
Limites de Recursos: Limites de CPU e memória aplicados por container
Varredura de Imagens: Imagens base verificadas quanto a vulnerabilidades conhecidas
Sistemas de Arquivos Somente Leitura: Quando aplicável, containers usam sistemas de arquivos raiz somente leitura

8. Monitoramento e Registro

8.1 Monitoramento de Segurança

Alertas: Alertas em tempo real para atividade suspeita
Resposta a Incidentes: Tempo de resposta de 15 minutos para incidentes críticos
Verificações de Saúde: Monitoramento continuo de saúde de containers e serviços

8.2 Registro de Auditoria

O Que: Quem acessou o que, quando, de onde, o que mudou
Retenção: 1 ano para logs de auditoria
Imutabilidade: Logs não podem ser modificados após criação
Criptografia: Logs criptografados em trânsito e em repouso

9. Controle de Acesso

Principio do Menor Privilégio: Usuários tem apenas o acesso necessário
Controle de Acesso Baseado em Funções: Funções de admin, membro e visualizador
MFA Obrigatório: Para todo acesso administrativo
Registro de Acesso: Todas as ações de admin registradas

10. Segurança do Reverse Proxy

Caddy: HTTPS automático com grampeamento OCSP
Gerenciamento de Certificados: Renovação automática, rotação sem downtime
Segurança de Headers: X-Frame-Options, X-Content-Type-Options, Referrer-Policy
HTTP/2 e HTTP/3: Suporte a protocolos modernos

11. Testes de Segurança

11.1 Testes Regulares

SAST: Teste Estático de Segurança de Aplicação (clippy, cargo-audit)
DAST: Teste Dinâmico de Segurança de Aplicação (analise em tempo de execução)
Testes de Penetração: Testes de penetração externos anuais

11.2 Gerenciamento de Vulnerabilidades

Programa de Divulgação: Política de divulgação responsável
Tempo de Resposta: Crítico = 24 horas, Alto = 7 dias
Correção: Patches de emergência implantados em horas, se necessário

12. Resposta a Incidentes

Em caso de incidente de segurança:

Detecção e Analise: Identificar escopo e severidade (1 hora)
Contenção: Isolar sistemas afetados (4 horas)
Investigação: Determinar causa raiz e impacto
Notificação: Informar usuários afetados (máximo 72 horas)
Recuperação: Restaurar operações normais
Pós-Incidente: Revisar e melhorar processos

13. Conformidade e Certificações

RGPD: Conforme (proteção de dados da UE)
CCPA: Conforme (privacidade da Califórnia)
SOC 2 Type II: Planejado
ISO 27001: Planejado

14. Relato de Segurança

Encontrou uma vulnerabilidade de segurança?

Email: [email protected]
Não Faça: Divulgar publicamente antes de termos 90 dias para corrigir
Nos Iremos: Confirmar em até 24 horas, fornecer atualizações regulares
Agradecimento: Pesquisadores de segurança creditados (se desejado)

15. Contato da Equipe de Segurança

Email: [email protected]
General: [email protected]