Central de Confiança

Contas de staff só acessam as áreas do painel administrativo explicitamente liberadas ao grupo de permissão a que pertencem (ex.: suporte, financeiro, compliance), verificado no servidor a cada requisição — não apenas ocultado na tela.

Um subusuário de uma conta cliente só acessa os módulos, campanhas e empresas explicitamente autorizados a ele, também verificado no servidor.

Cada conta pode ativar verificação em duas etapas via aplicativo autenticador (Google Authenticator, Authy, 1Password e compatíveis), exigida em todo login a partir daí — inclusive login social, por código de acesso e por SSO corporativo. O segredo do autenticador fica cifrado no banco.

Cada conta pode restringir o próprio login a uma lista de IPs ou faixas de IP específicas, aplicado no servidor em todo método de login.

Toda nova senha (cadastro, troca de senha, contas de equipe) precisa de pelo menos 8 caracteres e 3 das 4 classes de caractere, além de recusar as senhas mais previsíveis — não apenas um mínimo de tamanho.

Login de cliente e login administrativo têm, cada um, um limitador dedicado por IP+e-mail — não apenas um limite genérico por IP — e, além dele, um limite por conta: 10 tentativas erradas em uma hora bloqueiam a conta temporariamente, venham de quantos IPs vierem. O código do segundo fator também tem limite por conta.

A sessão de login expira após 14 dias sem uso, e uma conta suspensa perde o acesso mesmo que o banco de dados esteja instável.

A sessão do navegador fica em um cookie HttpOnly e SameSite=Strict: scripts da página não conseguem lê-la e outros sites não conseguem usá-la. O navegador guarda apenas um marcador, nunca o token da sessão.

O código de primeiro acesso não aparece mais na tela de quem preenche o cadastro: vai por e-mail ao endereço informado (ou pela nossa equipe, pelo WhatsApp do cadastro), vale por 24 horas e deixa de valer no primeiro uso.

Todo envio real (WhatsApp, e-mail, SMS, voz, vídeo) é registrado com canal, status de entrega, base legal, protocolo do envio (e a prova de opt-in, quando a empresa a registrou) e IP de origem — a mesma trilha usada para exportação e defesa legal.

Toda tentativa real de envio é checada contra a lista de supressão global e a lista de bloqueio do próprio cliente antes de sair — um contato bloqueado nunca é contatado por engano.

Um job programado anonimiza os dados pessoais (telefone, e-mail, nome) de eventos de disparo mais antigos que o prazo de retenção configurado, preservando os campos de evidência de conformidade (base legal, protocolo do envio, status); o link de descadastro e a resposta do provedor também saem — nunca abaixo de um piso mínimo de 90 dias.

Cliente: consulta a trilha, exporta o dossiê e exclui a conta em Minha Conta. Quem recebeu uma mensagem (sem ser cliente): em /lgpd/titular vê os dados que guardamos, pede a eliminação (mensagens, conversas, áudios e registros com o contato são apagados; fica só o bloqueio) ou a oposição — provando a titularidade pelo link da mensagem ou por um código enviado ao próprio e-mail ou telefone.

Qualquer URL de terceiro fornecida pelo cliente (ex.: servidor próprio de integração) é validada no servidor antes de qualquer requisição de saída, bloqueando endereços de rede interna/metadados de nuvem — e a conexão é feita exatamente no endereço validado, o que impede trocar o destino entre a checagem e o acesso (DNS rebinding).

Uma instância de WhatsApp só pode ser reivindicada por uma conta real por vez — duas contas não conseguem mais compartilhar ou colidir na mesma instância.

Hashes de senha e outras coleções críticas (sessões, saldo e extrato de créditos) nunca são acessíveis pelo endpoint genérico de dados do painel administrativo, mesmo com uma sessão de administrador válida. Crédito manual só é concedido pela equipe financeira, com teto diário por operador.

E-mails e telefones aparecem mascarados nos logs técnicos (ex.: ma***@dominio.com, ***4321), guardados por 30 dias, e as respostas de erro não expõem detalhes internos do servidor.

Credenciais de integração dos clientes, chaves do segundo fator e chaves dos meios de pagamento são gravadas cifradas no banco. O backup diário é cifrado (AES-256-GCM) antes de ser gravado e só é restaurado com a chave de cifra do servidor.