Segurança e privacidade

O acesso é de leitura, e a escrita nasce desligada

A coleta precisa apenas de permissão de leitura nas contas de anúncio. Pausar, retomar e alterar orçamento existem como recurso, mas a escrita na plataforma nasce desligada em todo ambiente e só é ligada por ação deliberada.

Mesmo ligada, toda alteração passa por plano, revisão e confirmação, com registro imutável de quem mandou o quê e qual foi a resposta da plataforma.

Credenciais nunca chegam ao navegador

Token de plataforma, senha de banco e chave de assinatura existem apenas no servidor. Nada disso é embutido no código que roda no navegador, e nada disso aparece em log — nem em log de erro.

As credenciais de plataforma ficam cifradas no banco. Comandos que recebem senha ou token as recebem por variável de ambiente, nunca como argumento de linha de comando: argumento fica visível na lista de processos e no histórico do terminal.

Um cliente não alcança o dado de outro

A separação é imposta pelo banco de dados, por política de linha, e não apenas pela aplicação. Uma consulta nova que esqueça o filtro de cliente não devolve linha alheia — a proteção não depende de ninguém lembrar.

O cliente vem do endereço da URL e é confirmado contra o token de acesso a cada requisição. Trocar o identificador na barra de endereços produz uma recusa, não uma tela com o dado de outra pessoa.

Um conjunto de testes tenta atravessar essa fronteira por vários caminhos e verifica que ela recusa. Ele roda a cada mudança do sistema.

Cada pessoa vê o que lhe cabe

Cinco papéis por cliente, com escopo opcional por conta de anúncio. A permissão é verificada no servidor a cada chamada — o que a interface esconde é conveniência, não controle.

A sessão vive num cookie que o JavaScript da página não consegue ler, e o token de acesso a um cliente dura dois minutos: mesmo interceptado, ele deixa de servir quase imediatamente.

Que dados são guardados

Métricas agregadas de campanha, conjunto e anúncio; nomes, estados e orçamentos dos objetos; conteúdo dos criativos; e a resposta bruta da plataforma, que é a evidência de origem de cada número.

Não há dado pessoal de usuário final das campanhas. As plataformas de anúncio não expõem quem viu ou clicou — elas reportam contagens agregadas, e é isso que é coletado.

Do lado de quem usa o painel, ficam e-mail, nome, senha cifrada e a trilha de acesso com IP e horário — necessária para investigar acesso indevido.

Onde os dados ficam

Em servidor próprio, com banco acessível apenas pelo laço local da máquina — ele não escuta na internet. Cada serviço roda com um usuário próprio do sistema, com o sistema de arquivos em modo somente-leitura exceto pelo que precisa escrever.

O tráfego é cifrado com certificado renovado automaticamente. Serviços internos não são alcançáveis de fora.

O que ainda não está pronto

Recuperação de senha por e-mail depende de servidor de envio configurado, e ainda não está. A troca de senha hoje é feita por quem administra.

Segundo fator de autenticação está previsto e não implementado. Registro isso aqui em vez de omitir: uma página de segurança que só lista o que existe é uma página que engana pela ausência.

Detalhes de mecanismo em como funciona por dentro. Dúvida específica: lucas@adventury.com.br.