Segurança

A fixmy.cloud/pentest é uma plataforma de segurança ofensiva automatizada. Levamos a proteção dos seus dados e a conduta responsável dos nossos scans a sério. Esta página descreve, de forma honesta, as medidas que adotamos e os limites do serviço.

1. Criptografia

• Em trânsito: todo tráfego com a plataforma usa TLS (HTTPS). A borda de distribuição (CDN) e a API só aceitam conexões criptografadas.
• Em repouso: dados armazenados (banco de dados e relatórios) são criptografados com AES-256.
• Segredos: chaves de API, tokens e segredos de assinatura ficam em um cofre gerenciado (secrets manager), nunca no código-fonte nem em logs.

2. Autenticação e Acesso

• MFA obrigatório: todas as contas exigem segundo fator (TOTP). A senha sozinha nunca concede sessão autenticada.
• Sessões assinadas: a sessão usa tokens assinados (JWT) com validade limitada; a fase intermediária do MFA não acessa dados.
• Isolamento entre clientes: cada requisição valida a propriedade do recurso antes de qualquer leitura. Um cliente nunca acessa scans, relatórios ou dados de outro.
• Proteção contra força bruta: limites de tentativa por IP e por conta em login, confirmação de e-mail e verificação do segundo fator.

3. Execução Responsável dos Scans

• Consentimento obrigatório: um scan só roda após você provar a posse do domínio (registro DNS TXT ou arquivo HTTP) e autorizar explicitamente a execução.
• Proteção anti-SSRF: alvos que resolvem para endereços internos, reservados, de loopback ou de metadados de nuvem são bloqueados, inclusive em formatos ofuscados de IP.
• Ambientes efêmeros: cada scan roda em um container isolado e descartável, destruído ao final da execução.
• Sem ações destrutivas por padrão: testes que gravam dados no alvo são separados em um modo intrusivo, ativado apenas sob consentimento explícito, com limpeza best-effort dos artefatos criados.
• Limites de tempo: cada scan e cada módulo têm teto de duração, evitando impacto prolongado no alvo.

4. Dados do Alvo

• Não acessamos nem armazenamos dados de negócio do alvo (bancos de dados, arquivos internos, credenciais).
• O output bruto do scan tem retenção limitada e é descartado automaticamente.
• Os relatórios descrevem as vulnerabilidades encontradas sem expor dados sensíveis do alvo.

Mais detalhes sobre tratamento de dados estão na nossa Política de Privacidade.

5. Pagamentos

Pagamentos são processados pela Asaas. Não armazenamos números de cartão de crédito nos nossos servidores; dados sensíveis do pagamento trafegam diretamente para o processador. Os webhooks de confirmação de pagamento são autenticados e recusados quando a origem não pode ser verificada.

6. Escopo e Honestidade sobre o Serviço

A fixmy.cloud/pentest é um scanner automatizado abrangente, com cobertura ampla do OWASP Top 10. Não substitui um teste de intrusão manual conduzido por especialistas para cenários de alto risco. Resultados automatizados podem conter falsos positivos e falsos negativos; recomendamos validação humana dos achados críticos.

7. Divulgação Responsável de Vulnerabilidades

Se você encontrar uma vulnerabilidade na própria plataforma fixmy.cloud, agradecemos a divulgação responsável. Pedimos que:

• Nos dê um prazo razoável para corrigir antes de qualquer divulgação pública.
• Não acesse, modifique nem exfiltre dados de outros usuários.
• Não execute ataques de negação de serviço nem degrade o serviço para terceiros.

Reporte para security@fixmy.cloud. Veja também nosso security.txt.

8. Contato

Segurança: security@fixmy.cloud

Privacidade / LGPD: privacidade@fixmy.cloud

Suporte geral: contato@fixmy.cloud