Segurança Avançada

Frontend hospedado na Vercel, com distribuição em CDN

Banco de dados, autenticação e storage na Supabase (PostgreSQL)

Proteção de borda e mitigação de tráfego malicioso pelos provedores

Alta disponibilidade gerenciada pela infraestrutura de nuvem

Acesso à aplicação exclusivamente via HTTPS

Cabeçalhos de segurança configurados (HSTS, CSP e correlatos)

Rate limiting em endpoints sensíveis (login, cadastro, webhooks)

Configurações seguras por padrão

Separação entre ambientes de produção e desenvolvimento

Variáveis de ambiente e segredos isolados por ambiente

Backups gerenciados pela plataforma de banco de dados

TLS para todas as comunicações HTTPS

HTTP Strict Transport Security (HSTS) em produção

Acesso à plataforma somente por conexões seguras

Criptografia de dados armazenados provida pela infraestrutura (Supabase/PostgreSQL)

Backups gerenciados pela plataforma de banco de dados

Dados sensíveis (como CPF) cifrados na aplicação

Dados de cartão processados diretamente pela Stripe, não trafegam nem são armazenados em nossos servidores

Senhas armazenadas com hash seguro pelo provedor de autenticação (Supabase Auth)

Mascaramento de campos sensíveis em logs (e-mail, senha, tokens, CPF, telefone)

Minimização e exclusão de dados quando deixam de ser necessários

Autenticação multifator (MFA) disponível via TOTP

Login social via OAuth2/OpenID Connect (Google)

Políticas de senha forte na criação de conta

Bloqueio temporário após tentativas de login malsucedidas

Sessões baseadas em tokens JWT com renovação automática

Perfis de acesso por papel (admin, premium, pro, free)

Isolamento multi-tenant por negócio (business_id)

Row Level Security (RLS) no banco de dados

Validação de acesso a recursos no servidor

Logs de eventos de autenticação e ações sensíveis

Encerramento de sessões inativas

Trilha de auditoria com usuário, ação e data/hora

Fluxo OAuth seguro com PKCE

Renovação automática de tokens de sessão

Perfis de acesso por papel (admin, premium, pro, free)

Encerramento e invalidação automática de sessões

Row Level Security (RLS) nas tabelas críticas

Proteção de recursos conforme o plano contratado

Rotas e áreas administrativas protegidas

Isolamento multi-tenant por negócio

Validação de permissões no servidor

Chaves de API mantidas exclusivamente no backend

Webhooks com validação de assinatura

Rate limiting nos endpoints de pagamento

Funções de servidor com autenticação obrigatória

Logs de auditoria para as transações

Camada de integração com provedores homologados

Sessões com reconexão automática

Limites de envio conforme o plano do usuário

Sanitização de mensagens para prevenir XSS

Tokens de API gerenciados no backend

Validação de e-mail, CPF e telefone brasileiro

Sanitização de HTML para prevenir XSS

Detecção de padrões de injeção de código

Normalização e escape de dados de entrada

Sistema TOTP compatível com apps autenticadores

QR Code para Google Authenticator, Authy e similares

Códigos de backup de uso único

Verificação obrigatória antes de habilitar 2FA

Interface completa de gerenciamento

Tokens criptográficos gerados de forma segura

Rotação e expiração automática de tokens

Renovação transparente antes do vencimento

Proteção integrada aos formulários da aplicação

Limites de tentativas em login, cadastro e redefinição de senha

Bloqueio temporário após tentativas excessivas

Rate limiting por IP em endpoints sensíveis e webhooks

Limites de envio de WhatsApp conforme o plano

Remoção automática de campos sensíveis (e-mail, senha, tokens)

Mascaramento de dados pessoais (CPF, telefone)

Registros específicos para eventos críticos

Trilha de auditoria com usuário, ação e data/hora

Validação de e-mail, CPF e telefone brasileiro

Validação de força de senha com múltiplos critérios

Sanitização de HTML e detecção de padrões maliciosos

Normalização de caracteres e espaços

Políticas de isolamento entre origens (COOP/COEP)

Controle de cache para dados sensíveis

Strict-Transport-Security em produção

Content Security Policy para prevenir XSS

Origens permitidas restritas por ambiente

Métodos e headers autorizados de forma explícita

Separação entre ambientes de desenvolvimento e produção

Código minificado e sem source maps em produção

Eliminação de código morto no build

Variáveis de ambiente isoladas entre ambientes

Buckets de arquivos protegidos por RLS

Limite de tamanho e validação de tipo nos uploads

Sanitização de caminhos para prevenir directory traversal

Isolamento de arquivos por negócio

Dados administrativos visíveis apenas a administradores

Acesso a recursos condicionado ao plano contratado

Usuários acessam apenas os próprios dados de assinatura

Multi-tenancy: agendamentos, clientes e serviços isolados por negócio

Validação de permissões executada no servidor

Procedimentos documentados para identificação e tratamento de incidentes

Priorização por severidade do impacto

Comunicação com as partes afetadas

Análise posterior para melhoria contínua

Severidade P0: impacto crítico em produção

Severidade P1: impacto alto, com contorno disponível

Severidade P2: impacto moderado

Severidade P3: impacto baixo ou cosmético

Isolamento de sistemas afetados

Preservação de evidências para investigação

Notificação à ANPD e aos titulares afetados conforme a LGPD

Implementação de medidas de mitigação

Recuperação a partir dos mecanismos disponíveis na infraestrutura, quando aplicável

Análise de causa raiz para prevenir recorrência

Atualização de procedimentos com base nas lições aprendidas

Lei Geral de Proteção de Dados (LGPD)

Marco Civil da Internet

Código de Defesa do Consumidor

Regulamentações do Banco Central (para pagamentos)

Legislação trabalhista e tributária

Diretrizes de segurança da OWASP

Princípios de Privacy by Design e Security by Default

Referências do NIST Cybersecurity Framework

Revisão de código com atenção a segurança em mudanças sensíveis

Avaliação de riscos e vulnerabilidades de forma contínua

Correção de problemas priorizada por severidade

Controles de segurança baseados em padrões reconhecidos

Documentação de processos e procedimentos

Melhoria contínua a partir de feedback e incidentes

Supabase: banco de dados, autenticação e storage

Vercel: hospedagem do frontend com CDN

Stripe: gateway de pagamentos, certificado PCI DSS

Google: login social e serviços de calendário

Provedor de mensageria WhatsApp

Preferência por provedores consolidados e com boa reputação de segurança

Acesso de terceiros limitado ao necessário para o serviço

Atenção a comunicados de segurança dos provedores

Tratamento de dados pessoais alinhado à LGPD

Use senhas com pelo menos 12 caracteres

Combine letras maiúsculas, minúsculas, números e símbolos

Não reutilize senhas entre diferentes plataformas

Use gerenciadores de senhas confiáveis (1Password, Bitwarden)

Altere senhas imediatamente se suspeitar de comprometimento

Ative 2FA sempre que disponível

Use apps authenticator (Google, Microsoft, Authy)

Evite SMS quando possível (vulnerável a SIM swapping)

Guarde códigos de recuperação em local seguro

Considere chaves de segurança físicas (YubiKey)

Sempre acesse via https://www.agendapro360.com.br

Nunca clique em links suspeitos em emails

Verifique a URL antes de inserir credenciais

Use navegadores atualizados com bloqueadores de ads

Evite redes Wi-Fi públicas para transações sensíveis

Revise regularmente logs de acesso

Configure alertas para logins suspeitos

Monitore relatórios de atividade da conta

Reporte imediatamente atividades não autorizadas

Mantenha informações de contato atualizadas

Mantenha sistemas operacionais atualizados

Use antivírus em dispositivos Windows

Configure bloqueio automático de tela

Não salve senhas em dispositivos compartilhados

Faça logout completo ao usar dispositivos públicos

Expansão dos logs de auditoria

Melhorias na experiência de gerenciamento de 2FA

Ajustes finos no rate limiting por funcionalidade

Aprimoramento das validações de entrada

Notificações de eventos de segurança para o usuário

Histórico ampliado de tentativas de login

Melhor detecção de padrões de acesso suspeitos

Fortalecimento de práticas de Privacy by Design

Estruturação contínua da governança de dados

Acompanhamento de novas exigências regulatórias do setor

E-mail: security@agendapro360.com.br

Descreva o problema com detalhes claros e passos para reprodução

Não acesse dados de outros usuários

Não execute ataques que afetem a disponibilidade do serviço

Não utilize engenharia social contra nossa equipe ou clientes

Forneça detalhes claros e passos para reprodução

Aguarde nossa resposta antes de qualquer divulgação pública

Confirmamos o recebimento do reporte

Avaliamos e priorizamos pela severidade

Mantemos contato sobre o progresso da correção

Agradecemos publicamente quando o pesquisador autorizar

Aplicação web principal (agendapro360.com.br)

Endpoints e APIs da plataforma

Exclusões: serviços de terceiros e engenharia social

E-mail prioritário: security-emergency@agendapro360.com.br

Vulnerabilidades: security@agendapro360.com.br

Suspeita de comprometimento de conta

Vazamento de dados identificado

Atividade maliciosa em andamento

Vulnerabilidade crítica descoberta

Incidente de segurança em curso

Natureza do incidente ou vulnerabilidade

Passos para reproduzir (quando aplicável)

Evidências (capturas de tela, logs etc.)

Impacto potencial estimado

Informações de contato para retorno

Priorizamos reportes de segurança pela severidade

Mantemos contato sobre o andamento do tratamento

Notificamos titulares e a ANPD quando exigido pela LGPD