Aqui está o que fazemos, e o que ainda não fazemos
Este produto guarda a sua folha de pagamento, o seu movimento bancário e os números que viram imposto no seu nome. A lista abaixo é do que está no código hoje, e a segunda lista é do que ainda não está. As duas mudam juntas.
Acesso
- Senha protegida com Argon2id, o algoritmo recomendado pela OWASP, com parâmetros acima do mínimo.
- Sessão guardada no servidor e revogável na hora. Trocar a senha derruba todas as sessões abertas, na hora, e não no fim do prazo delas.
- Segundo fator por aplicativo autenticador, disponível para qualquer conta. SMS não é oferecido, porque o número de telefone é o elo mais fácil de tomar.
- Login social pelo fluxo com PKCE, com validação de state e nonce. Nunca vinculamos contas automaticamente por coincidência de e-mail: quem já tem senha entra pela senha e vincula depois, dentro da conta.
- Limite de tentativas por janela de tempo, em vez de bloqueio permanente, que viraria negação de serviço contra você.
Dados
- O CPF do contribuinte na declaração de pessoa física e o segredo do segundo fator são cifrados em nível de campo, com AES-256-GCM.
- Busca por CPF feita por índice cego, sem armazenar o número em claro nem usar cifra determinística no dado.
- Isolamento entre contas na camada de acesso a dados: toda consulta nasce presa ao seu inquilino, e operação que ninguém escopou é recusada por omissão em vez de liberada.
- XML de nota fiscal recusado quando traz declaração de tipo de documento, o que bloqueia a classe de ataque mais comum contra leitores de XML.
Auditoria
- Toda ação relevante é registrada em trilha que o próprio banco recusa alterar ou apagar, por gatilho, e cada registro é encadeado ao anterior por assinatura: uma linha mexida quebra a cadeia.
- Cada registro carrega o hash do anterior, então adulterar um evento antigo quebra a cadeia inteira e é detectado.
- Você enxerga essa trilha no seu painel, incluindo o resultado da verificação de integridade.
- Nunca registramos senha, token, conteúdo de certificado, CPF completo nem salário no log, e existe teste que falha se alguém escrever um deles.
Inteligência artificial
- A sua pergunta ao assistente é tratada como dado, nunca como instrução para o modelo.
- O modelo não tem acesso a nenhuma ferramenta com efeito colateral. Ele propõe, você confirma.
- Nada do que a máquina classifica sozinha vira imposto sem passar por gente: a guia só fica aprovada quando quem paga confere a memória de cálculo e aprova o valor, e quem aprovou fica gravado na trilha. Não há revisão de contador no autoatendimento.
Continuidade
- Banco PostgreSQL num servidor da AWS em São Paulo, administrado por nós, e não um serviço de banco gerenciado. O histórico de escrituração é conservado pelos prazos legais de guarda.
- Cópia do banco todo dia, guardada no mesmo servidor. Ela recupera dado apagado por engano, e não protege contra a perda do servidor.
- Trilha de auditoria encadeada por HMAC, que o banco recusa alterar ou apagar: adulterar um evento antigo quebra a cadeia e aparece na sua tela.
- Estamos construindo a rotina de backup verificada por restauração cronometrada. Enquanto ela não estiver pronta e testada, não anunciamos ponto de recuperação nem tempo de retomada: número de continuidade só vale depois de medido numa restauração real.
O que ainda não fazemos
Página de segurança que só lista virtude não ajuda ninguém a decidir. Estes controles não existem hoje, e a lista muda quando eles passarem a existir.
- Guarda de certificado digital A1. O produto ainda não recebe, não guarda e não assina com certificado: a estrutura de cifra está pronta e o fluxo não existe. Enquanto isso, quem emite nota e transmite declaração é você ou o seu contador.
- Chave de cifra em serviço de gerenciamento de chaves. Hoje ela vem da configuração do ambiente. O formato guardado já é o de envelope, então a troca não mexe nos seus dados.
- Segundo fator obrigatório por papel. Ele está disponível e recomendado, e ninguém é forçado a ativar.
- Cifra de campo na folha de pagamento. CPF de funcionário, salário e dados bancários ficam no banco em claro, protegidos pelo isolamento entre contas e pelo controle de acesso, e não por cifra própria.
- Política de linha no banco como segunda barreira do isolamento. Hoje a barreira é uma só, na camada de acesso a dados.
- Cópia do banco fora do servidor onde ele roda. A cópia diária fica no mesmo servidor e não sobrevive à perda dele.
Encontrou uma falha?
Escreva para seguranca@contafacil.app com o passo a passo para reproduzir. Respondemos em até 3 dias úteis, não acionamos ninguém judicialmente por pesquisa feita de boa-fé e damos crédito público a quem quiser.
Não é cliente e tem dados aqui, por ser funcionário, sócio ou dependente de quem usa o Conta Fácil? Peça acesso, correção ou eliminação, com protocolo na hora.
Sobre tratamento de dados pessoais, o canal do encarregado é privacidade@contafacil.app e os detalhes estão na política de privacidade.