Segurança Digital

SECURITYDEFENSE IN DEPTH

Política de Segurança Digital.

Princípios mínimos de proteção para site, aplicativo, banco, autenticação, credenciais, dados sensíveis e resposta a incidentes.

Princípio

Segurança por camadas, privilégio mínimo e redução de superfície de ataque.

Autenticação

Fluxos de login, confirmação e recuperação devem usar provedores oficiais e conexões HTTPS.

Banco de dados

RLS, políticas de acesso e RPCs mínimas devem impedir leitura ou alteração indevida de dados por usuários não autorizados.

Segredos

Chaves administrativas, service-role, tokens privados e credenciais de produção nunca devem ser enviados ao navegador ou incorporados ao app público.

Site público

CSP, HSTS, anti-frame, nosniff, Permissions-Policy e validação de entrada ajudam a reduzir classes comuns de ataque.

Antiabuso

O formulário de interesse usa honeypot, validação server-side, controle de origem, tamanho máximo de payload e rate limit por origem de rede para reduzir spam e automação hostil.

06A

Envio de interesse por e-mail

O navegador envia os dados para /api/interest no mesmo domínio. A função Cloudflare valida os campos e chama o serviço de e-mail usando uma credencial criptografada no ambiente; o token não é incorporado ao HTML, CSS ou JavaScript público.

Dados sensíveis

Acesso a saúde, fotos e relatórios deve ser limitado ao necessário, com segregação de função e revisão de permissões.

Incidentes

Eventos relevantes devem gerar contenção, investigação, preservação de evidências e comunicação regulatória quando exigida.

Divulgação responsável

Pesquisadores de segurança podem relatar vulnerabilidades pelo canal publicado em /.well-known/security.txt. Não é autorizado explorar, persistir acesso, exfiltrar dados ou prejudicar usuários.

Sem promessa absoluta

Nenhum sistema conectado é “impossível de hackear”. O compromisso é prevenir, detectar, responder e melhorar continuamente.

SECURITYDEFENSE IN DEPTH

Digital Security Policy.

Minimum protection principles for the website, app, database, authentication, credentials, sensitive data and incident response.

Principle

Layered security, least privilege and attack-surface reduction.

Authentication

Database

RLS, access policies and minimal RPCs should prevent unauthorized reading or modification of data.

Secrets

Administrative keys, service-role credentials, private tokens and production secrets must never be exposed to the browser or bundled into a public app.

Public website

CSP, HSTS, anti-frame, nosniff, Permissions-Policy and input validation help reduce common attack classes.

Abuse prevention

The interest form uses a honeypot, server-side validation, origin checks, a maximum payload size, and network-origin rate limiting to reduce spam and hostile automation.

06A

Email delivery for interest submissions

The browser sends data to /api/interest on the same domain. The Cloudflare function validates the fields and calls the email service using a credential encrypted in the environment; the token is not embedded in public HTML, CSS, or JavaScript.

Sensitive data

Access to health data, photographs and reports should be limited to what is necessary, with role separation and permission review.

Incidents

Relevant events should trigger containment, investigation, evidence preservation and regulatory notice where required.

Responsible disclosure

Security researchers may report vulnerabilities through the channel published at /.well-known/security.txt. Exploitation, persistence, data exfiltration or harm to users is not authorized.

No absolute promise

No connected system is “unhackable.” The commitment is to prevent, detect, respond and continuously improve.