APIBlogContato

Contas, dados e sites monitorados

Segurança como ela é hoje.

O que fazemos para proteger sua conta, seus dados e os sites que você monitora, e o que ainda não fizemos. Atualizado em outubro de 2026.

01. Controles

O que já fazemos.

  • Seu site só é lido, nunca alterado

    • O WebVyze faz as mesmas requisições públicas de um visitante. Não pede acesso ao servidor, ao painel do CMS nem ao banco de dados.
    • O plugin do WordPress, se você instalar, adiciona o script de medição de visitantes reais e envia a lista de plugins e versões; não mexe em outros arquivos nem em configurações.
    • As correções são feitas por você (ou pelo seu agente de IA). Depois, o WebVyze verifica de novo e só marca como resolvido com evidência.

  • Criptografia e segredos

    • Todo o tráfego usa HTTPS (TLS 1.2 ou superior) com HSTS.
    • Senhas guardadas com bcrypt. Chaves de API, convites e URLs de deploy guardados só como hash SHA-256.
    • Credenciais de integrações (Jira, Slack, SMTP, webhooks) criptografadas com AES-256 e nunca devolvidas pela API.
    • Cartões são processados pelo Stripe e cripto pelo BTCPay Server. Nenhum dado de cartão passa pelo WebVyze.

  • Contas isoladas e acesso mínimo

    • Cada recurso é checado contra a conta e o papel de quem pede (owner, admin, membro, cliente), inclusive pela API e pelo MCP.
    • Chaves de API e de MCP têm escopo (leitura ou escrita), expiram e agem com as permissões da pessoa que as criou.
    • O suporte só entra numa conta com motivo registrado, por até 60 minutos e sem ações sensíveis.
    • Verificação em duas etapas por app autenticador para cada pessoa, com códigos de recuperação; vale também para quem entra com o Google. O dono da conta pode exigi-la de toda a equipe, e ela é obrigatória para a equipe da WebVyze.

  • Análise isolada

    • Toda requisição para fora passa por uma proteção contra SSRF: só endereços públicos, IP fixado, redirecionamentos revalidados e limite de tamanho.
    • Quando ligada, a análise em navegador roda num contêiner separado, sem acesso ao banco de dados nem aos segredos.
    • O servidor fica atrás da Cloudflare e só aceita conexões web vindas dela.

  • Privacidade (LGPD e GDPR)

    • Consentimento registrado com data e texto; e-mails confirmados em duas etapas.
    • Você exporta seus dados e exclui sua conta quando quiser, em Conta › Privacidade.
    • Cadastros não confirmados são apagados em 7 dias; contatos comerciais, após o prazo da Política de Privacidade.

  • Revisões de segurança

    • Duas revisões internas de código em 2026 (setembro e outubro): autorização, saída de rede, cobrança, abuso e front-end. Todas as falhas encontradas foram corrigidas e ganharam testes automáticos.
    • Mais de 500 testes automáticos rodam a cada mudança, antes de ir para produção.

02. Transparência

O que ainda não fizemos.

Ainda não temos

  • Pentest externo ou revisão por empresa independente.
  • Certificações como SOC 2 ou ISO 27001.

Encontrou uma vulnerabilidade?

Escreva para privacidade@webvyze.com.br com os passos para reproduzir. Respondemos em até 5 dias úteis e não tomamos medida legal contra quem reporta de boa-fé, sem acessar dados de outras pessoas nem degradar o serviço.

Contrato de tratamento de dados (DPA) e respostas a questionários de segurança: pelo mesmo e-mail. Detalhes sobre dados pessoais na Política de Privacidade. security.txt · Disponibilidade

Guias relacionados

Parceiros

Benefícios de parceiros com o mesmo cupom.

WPLIGHT

Links de parceiros. Podemos receber uma comissão, sem custo adicional para você.