O que está em vigor, e o que não está. As duas metades.

• As senhas são hasheadas com Argon2id e armazenadas como strings PHC. Elas nunca são armazenadas, registradas em log nem transmitidas em forma legível, e não há caminho que recupere uma delas.
• As sessões são tokens assinados com tempo de vida limitado. O control plane emite um token separado e de vida curta para cada chamada que faz ao motor de um modelo, então um motor nunca vê uma sessão de navegador.
• Tentativas repetidas de entrada malsucedidas bloqueiam o endereço por um período de espera. O contador fica no banco de diretório, então sobrevive a um reinício.
• Os convites são de uso único e um endereço só é marcado como interno depois de comprovado por uma entrada ou pelo aceite de um convite.
• Um agente é um usuário com um papel. Agentes de IA se autenticam como usuários e têm papéis; o token mestre de emergência é recusado nos caminhos de agente.

Login único (SAML ou OIDC) e autenticação multifator obrigatória não estão disponíveis hoje. Veja as lacunas abaixo.

• Papéis. Reader, Contributor e acima, verificados contra o motor em vez de presumidos pela interface.
• Travas de período. Um mês fechado recusa toda escrita nele — digitada, colada, importada ou agendada —, inclusive a da própria plataforma. Uma recusa nomeia a célula e o motivo.
• Acesso dimensional (seletivo). Um usuário pode receber ou ter negadas fatias individuais de um modelo — uma região, uma entidade, um centro de custo. As concessões são explícitas; nada é herdado por acidente.
• Aplicado do lado da leitura. Uma célula que você não pode ver não é oferecida para escrita, então uma colagem em uma fatia proibida é recusada antes de ser enviada, e não aplicada pela metade.
• Isolamento entre tenants. Cada modelo de uma organização é um processo próprio, com o seu próprio diretório de dados, alcançado só pelo control plane autenticado; o motor de um modelo não fica exposto à rede.

• Toda mudança em um modelo é um evento, acrescentado a um log, com autor e hora. O estado é reconstruído reproduzindo o log; nada é editado no lugar.
• Um reinício reproduz até um estado idêntico bit a bit. Células calculadas são sempre recalculadas, nunca persistidas, então um valor guardado nunca pode se afastar da sua fórmula.
• As escritas são agrupadas em changesets que podem carregar a revisão contra a qual foram construídos; um changeset desatualizado conflita inteiro em vez de entrar pela metade.
• Um fechamento, uma reabertura e uma reversão são registrados como atos, com quem fez e quando.
• A nossa própria equipe chega aos dados de cliente pelos mesmos caminhos autenticados que os clientes usam, e isso também fica registrado ali.

• Amazon Web Services, us-east-1 — computação, armazenamento e envio de e-mail. A AWS é responsável pela segurança física e ambiental por baixo disso. A lista está em suboperadores.
• TLS em toda conexão, com certificados da Let’s Encrypt renovados automaticamente. HTTP é redirecionado; HSTS está ativo.
• O contêiner da aplicação roda como usuário não-root, e a imagem é construída na CI e não no host, então o que está rodando é rastreável até um commit.
• Backup noturno do volume de dados para armazenamento de objetos na mesma região.
• A implantação é um pipeline, não uma pessoa em uma máquina. Uma mudança chega à produção por uma construção que roda antes as suítes de teste, as verificações de tipo e os linters.
• Dados em trânsito são criptografados por TLS. Dados em repouso ficam em armazenamento gerenciado pela AWS.

• Sem relatório SOC 2, sem certificado ISO 27001, sem teste de invasão independente. Não temos certificação de segurança de terceiros de nenhum tipo.
• Sem login único (SAML ou OIDC) e sem autenticação multifator obrigatória.
• Sem chaves de criptografia gerenciadas pelo cliente, e sem criptografia em nível de campo dentro de um modelo.
• Sem opções de residência de dados. Uma região, us-east-1, para todo mundo.
• Sem alta disponibilidade. Um único host, restaurado a partir de backup. Veja compromissos de serviço.
• Janelas programadas fora do ar. O host do piloto roda das 07:00 às 19:00, de segunda a sábado, horário America/Winnipeg, e fica parado fora delas.
• Sem programa de bug bounty, e sem documento formal de política de divulgação de vulnerabilidades — ainda que relatos sejam bem-vindos e respondidos, veja abaixo.
• Sem plantão de segurança 24/7.