Segurança

Arquitetura

• TLS 1.2+ em todo tráfego; HSTS com preload.
• Backend FastAPI atrás de WAF nexshield próprio (mesmo motor do produto).
• Banco PostgreSQL com criptografia em repouso (AWS RDS KMS).
• Segredos em AWS Secrets Manager; nunca em código nem em variáveis de ambiente em texto claro nos manifestos.

Autenticação

• JWT em cookies HttpOnly + Secure + SameSite=Lax.
• Senhas em bcrypt 12 rounds.
• Token de acesso 15 min; refresh 7 dias; rotação a cada refresh.
• Proteção CSRF por double-submit cookie em mutações.
• Rate-limit em /login, /register, /reset-password.
• MFA obrigatório para contas admin (em rollout).

Criptografia em repouso

• Credenciais reveladas: AES-256 + envelope KMS por linha.
• Trilha de auditoria de revelação: WORM (UPDATE/DELETE bloqueado por trigger).
• RDS criptografado, snapshots criptografados, backups PITR retidos 35 dias.

Auditoria e logs

• Todas as ações sensíveis (revelação de credencial, exclusão de conta, mudança de role) geram registro append-only.
• Logs aplicacionais mascaram PII (e-mail, IP) antes de enviar ao agregador.
• Acesso a logs limitado por IAM, com trilha de auditoria do próprio acesso.

Programa de bug bounty / responsible disclosure

Encontrou uma vulnerabilidade? Reporte para security@nexguardsec.com.brusando nossa chave PGP (disponível em /.well-known/security.txt). Não testamos legalmente em contas que não sejam suas. Disclosure coordenada — agradecimento público mediante autorização.

Conformidade

• LGPD (Lei 13.709/2018) — controlador e operador, conforme contrato.
• SOC 2 Type II — em preparação (auditoria 2026).
• ISO 27001 — gap-analysis concluído; implementação em andamento.

Incidentes

Comunicação ANPD em até 48h conforme exigido pela LGPD para incidentes que tragam risco relevante. Comunicação aos titulares afetados em até 72h após a confirmação. Status público em status.nexguardsec.com.br.