Pular para o conteúdo principal

Segurança

Autenticação de dois fatores (MFA)​

O MFA usa TOTP — o mesmo código de 6 dígitos de aplicativos como Google Authenticator, Authy e 1Password.

  • Obrigatório para perfis protegidos. Hoje, o perfil Administrador é bloqueado no login até configurar o MFA. A exigência é aplicada no servidor, não só na tela: um administrador existente é obrigado no próximo login.
  • Voluntário para os demais. Qualquer usuário pode habilitar o MFA no próprio perfil.
  • Códigos de backup. Ao habilitar, são gerados 6 códigos de uso único, exibidos uma única vez para download ou impressão. Eles substituem o aplicativo quando você perde o celular. Gerar novos invalida os antigos.

Recuperação​

Sem o aplicativo e sem os códigos de backup, a recuperação passa pelo suporte da Soublox, que pode desativar o MFA de um usuário. É uma operação auditada.

Sessão​

  • O acesso é por cookie de sessão (HttpOnly), com tokens de curta duração.
  • A sessão é encerrada ao sair, ao desativar o usuário e ao trocar a senha.
  • Dispositivos são deduplicados: o mesmo navegador não abre sessões duplicadas para o mesmo usuário.

Restrições de login por IP​

Em Configurações → Restrições de login você limita de quais faixas de IP a equipe pode entrar:

  • regras globais da empresa e regras por perfil;
  • faixas em notação CIDR;
  • tentativas fora da faixa são recusadas e registradas.

Isso complementa o MFA: é a barreira de rede, útil para equipes que só acessam de dentro do escritório ou de uma VPN.

Limites de tentativa​

Login e recuperação de senha têm limite de tentativas por IP e por conta. Ao estourar, a resposta é 429 e a liberação é automática depois da janela de espera.

Permissões​

O controle de acesso é por seção × ação, definido nos perfis (veja Equipe e permissões). Três consequências práticas:

  1. Relatórios respeitam as permissões das tabelas. Um usuário não vê no relatório o dado que não pode ver na tela.
  2. Exportação é uma permissão própria. Ter a seção não implica poder baixar CSV.
  3. O MCP herda o perfil. Um assistente conectado responde exatamente o que o usuário que autorizou o acesso pode ver.

Isolamento entre empresas​

Cada workspace é isolado: as consultas passam por Row Level Security no banco, com o contexto da empresa aplicado em toda requisição. Não existe consulta do app que atravesse empresas.

Boas práticas​

  1. MFA obrigatório para todos os administradores (já é automático) e encorajado para supervisores.
  2. Uma conta por pessoa — nunca compartilhar login.
  3. Revisar perfis a cada mudança de equipe.
  4. Restringir IP quando a operação vem de local fixo.
  5. Guardar os códigos de backup em cofre, não no e-mail.