Segurança

Arquitetura

A UptimeGlobe roda em uma plataforma serverless totalmente gerenciada, operada por um provedor de infraestrutura de primeira linha. Não temos servidores de longa duração, nenhum acesso SSH para rotacionar e nenhum sistema operacional para atualizar — uma grande classe de vulnerabilidades simplesmente não faz parte da nossa superfície. Todo o tráfego, voltado ao usuário ou interno, trafega por TLS.

Sua conta

• Senhas passam por hash com PBKDF2-SHA256 (100.000 iterações, salt por usuário). Nunca armazenamos nem registramos uma senha em texto puro, e as respostas de login são construídas de forma que não seja possível descobrir, pelo tempo de resposta, se uma conta existe.
• A autenticação de dois fatores (TOTP) está disponível para todas as contas, inclusive no plano Free.
• As sessões usam um token de curta duração, de 15 minutos, além de um token de atualização rotativo de uso único. Reutilizar um token de atualização já rotacionado — o sinal típico de uma sessão roubada — revoga todas as sessões da conta. Alterações e redefinições de senha fazem o mesmo.
• Proteção contra bots: o cadastro e o login são filtrados contra abuso automatizado sem um CAPTCHA para resolver.

Suas credenciais e dados

• As credenciais de notificação — tokens do Slack, URLs de webhook, chaves de provedores de SMS — são criptografadas em repouso com AES-256-GCM, com uma chave mantida fora do banco de dados. A API as devolve ocultadas, e as mensagens de erro são higienizadas para que uma integração com falha não possa vazar o próprio segredo.
• O isolamento entre contas é garantido na própria camada de acesso a dados: toda consulta a dados pertencentes a uma conta é automaticamente restrita à sua organização, e nossos linters recusam código que contorne esse ponto de acesso. Não fica a cargo de cada endpoint lembrar disso.
• As chaves de API têm escopo por recurso e por ação (leitura/escrita), são exibidas uma única vez na criação, armazenadas com hash e podem ser revogadas a qualquer momento.
• Dados de pagamento: os dados do cartão nunca passam pelos nossos sistemas. Quando a cobrança paga estiver ativa, o checkout e o armazenamento dos cartões ficarão a cargo de um provedor de pagamentos dedicado.

Direitos sobre os dados

Você pode exportar seus dados e excluir sua conta — a exclusão é uma remoção definitiva de verdade dos dados da sua conta, não uma simples marcação. Detalhes na política de privacidade.

Status de conformidade

A UptimeGlobe ainda não tem certificação SOC 2 nem ISO 27001 — somos um produto em estágio inicial, tocado pelo fundador, e não vamos fingir o contrário. Esta página descreve os controles reais existentes hoje; ela é atualizada conforme a nossa postura de segurança evolui.

Como relatar uma vulnerabilidade

Encontrou algo? Use o formulário de contato: escolha o tema Outro assunto e comece sua mensagem com “SECURITY”. Inclua os passos para reproduzir e o impacto que você acredita que o problema tem. Confirmaremos o recebimento em até 2 dias úteis, manteremos você informado enquanto corrigimos e daremos o crédito a você, se quiser. Por favor, não acesse dados de outros usuários durante os testes — uma prova de conceito na sua própria conta é sempre suficiente.