Segurança
Construímos a FlowCensus para o dia em que ela for atacada.
Um inventário de fraquezas é um mapa de alvos. Por isso a pergunta de projeto não foi se estamos seguros, e sim o que um atacante levaria.
O compromisso
Se a FlowCensus for comprometida, o atacante
- não obtém credencial que o autentique em nenhum sistema seu,
- não obtém dado pessoal dos seus clientes,
- e não obtém o conteúdo dos seus fluxos.
O que existe nos nossos bancos é cifrado por cliente. Um dump sem acesso ao nosso serviço de chaves não produz alvo utilizável.
Nunca armazenado
Quatro coisas que nunca gravamos em lugar nenhum.
Nem em disco, nem em log, nem em cache, fila ou arquivo temporário. Cada uma é coberta por teste automatizado.
JSON bruto do fluxo
Existe em memória durante a varredura e é descartado.
Valor de segredo
Nem o valor, nem parte dele, nem hash, nem os primeiros caracteres.
Conteúdo de pinnedData
Dado de teste esquecido no fluxo é detectado, classificado e contado. Nada do conteúdo é guardado.
Dado pessoal dos seus clientes
Nunca tratamos dados dos seus clientes ou usuários finais.
O que guardamos
Só o que o achado precisa, com justificativa para cada campo.
| Categoria | Exemplos | Por quê |
|---|---|---|
| Identidade do achado | Fingerprint, ID da regra, tipo de recurso | Acompanhar o mesmo achado entre varreduras |
| Estrutura | Nomes de fluxo, nó e credencial (nunca o valor) | Localizar o achado e escrever o guia de correção |
| Classificação | Severidade, eixos de impacto e a evidência de cada um | A régua |
| Procedência | Quem construiu o fluxo, e como sabemos | Levar a correção a quem pode fazê-la |
| Eventos | Tipo, horário, papel de quem resolveu | Medir a remediação |
| Trecho redigido | Bearer *** | Depurar falso positivo |
| Contas | Nomes e e-mails corporativos dos seus usuários | Operar o produto |
Tratamos, sim, dado pessoal dos seus funcionários: nome e e-mail corporativo de quem construiu cada fluxo e de quem usa a FlowCensus. É inevitável, e é tudo.
Como é protegido
Um banco de dados por cliente
A segregação é estrutural, não um filtro na consulta. Alcançar um cliente não abre caminho para outro.
Cifragem por campo
Nomes de fluxo, nó e credencial, localizadores e trechos são cifrados com uma chave exclusiva da sua empresa. Um dump mostra fingerprints e IDs de regra — um retrato estatístico, não um mapa.
Sua chave de API em envelope
Cifrada com chave por cliente, embrulhada pelo AWS KMS. Decifrar exige uma identidade de nuvem que não vaza junto com o banco. Nunca em log, nunca devolvida pela API.
Somente leitura por desenho
Na conexão testamos se sua chave do n8n consegue escrever e avisamos se conseguir. Nunca escrevemos, e nunca pedimos o conteúdo das execuções.
Acesso protegido
Autenticação de dois fatores em toda conta. Sem SSH nos servidores: sessões administrativas passam por canal gravado.
Borda e infraestrutura
AWS em us-east-2 (Ohio), atrás do CloudFront com firewall de aplicação e limite de requisições. Toda a infraestrutura é código, revisado e aplicado por pipeline.
Retenção
Quatro relógios, cumpridos por rotina agendada.
| O quê | Guardado por |
|---|---|
| JSON bruto do fluxo | Zero — só memória |
| Trechos redigidos | 90 dias |
| Estado dos achados | Vigência do contrato + 30 dias |
| Log de eventos | Vigência do contrato + 12 meses (você pode reduzir) |
No encerramento, apagamos seu banco de dados e sua chave de dados e revogamos sua chave de API. Os backups cifrados expiram em até 14 dias e, depois disso, nada seu permanece. Você recebe uma certidão de exclusão datada, com o que foi apagado e quando.
Conformidade
Operador pela LGPD e processor pelo GDPR, com os documentos que isso exige.
Sua empresa é a controladora: ela decide o que varrer e para quê. Nós atuamos como operador, sob um acordo de tratamento de dados que segue o artigo 28 do GDPR.
- Incidentes: comunicamos os clientes afetados sem demora injustificada, com o que soubermos, e seguimos o menor prazo legal aplicável (3 dias úteis pela ANPD).
- Transferências internacionais usam cláusulas-padrão contratuais.
- Ainda não temos certificações. Quando tivermos, elas aparecem aqui — não antes.
Encontrou uma vulnerabilidade?
Escreva para nós. Respondemos em até dois dias úteis e não perseguimos pesquisa feita de boa-fé.