O que o código realmente faz

Verificado em relação ao código a 16-09-2026

1. Cada consulta à base de dados passa por uma extensão Prisma que a associa à organização do pedido, e uma consulta sem contexto de organização falha em vez de devolver linhas.

2. As sementes TOTP e os tokens de fornecedores terceiros são armazenados encriptados com AES-256-GCM, com um porta-chaves que permite a rotação de chaves sem perder o acesso aos dados existentes.

3. Cada resposta HTML recebe uma Content-Security-Policy com um nonce aleatório por pedido, e um script inline sem esse nonce não é executado.

4. Cada chamada de alteração de estado que transporte uma sessão de colaborador deve enviar um token CSRF que corresponda ao cookie, e a aplicação desta regra não pode ser desativada em produção.

5. O link de um recibo de aprovação é assinado com HMAC-SHA256, a assinatura é verificada antes de qualquer leitura na base de dados e qualquer falha devolve o mesmo erro 404.

   Um link de partilha é um token aleatório de 32 bytes do qual apenas o SHA-256 é armazenado, com expiração, uma palavra-passe opcional e revogação imediata; um link revogado, expirado ou desconhecido devolve o mesmo erro 404.

6. Cada ficheiro carregado é analisado com o ClamAV numa VM privada dentro da VPC antes de ser criada qualquer representação a partir dele, e um ficheiro sem um veredicto limpo é retido e não é disponibilizado.

   Os ficheiros com mais de 2 GiB são retidos e não são verificados. Um ficheiro retido não é disponibilizado.

7. Um cliente entra no portal sem conta, através de código, link, telefone ou e-mail; apenas é guardado um HMAC do código ou token, uma porta expira (30 dias por predefinição) e a revogação desconecta todos os dispositivos em dois minutos.

8. O registo de atividade é apenas de adição na aplicação: nenhum caminho de código atualiza ou elimina uma linha de auditoria, e uma barreira de CI falha em qualquer tentativa de adicionar um.

9. Cada rota de API tem o seu limite de taxa definido por utilizador ou IP de cliente através de um contador Redis partilhado entre instâncias; quando o Redis está indisponível, o limite cai para um terço por instância em vez de se abrir.

10. A sessão é um cookie JWT assinado (HS256) com HttpOnly, Secure e SameSite=Lax, expira após duas horas de inatividade e pode ser revogada em todos os dispositivos em simultâneo; as palavras-passe são armazenadas como hashes scrypt e os códigos de recuperação de MFA são armazenados apenas como HMACs.

11. O portal do cliente, os links de partilha, os recibos, a aceitação de convites e as páginas de conclusão de registo e de reposição de palavra-passe contêm noindex, e o robots.txt proíbe /api/, /admin, /app e /coupons.

12. O proprietário de um espaço de trabalho exporta os dados e elimina o espaço de trabalho ou a sua própria conta sem nos contactar; a eliminação bloqueia o acesso imediatamente e a eliminação permanente é executada automaticamente após 30 dias, o número estipulado nos termos, na política de privacidade e no DPA.

13. Os segredos são carregados a partir do Secret Manager no momento da implementação, validados na inicialização (comprimento mínimo, rejeição de valores de marcador de posição, a chave de encriptação deve ter 32 bytes aleatórios) e omitidos dos registos e relatórios de erros.

14. As chamadas agendadas são autenticadas com uma assinatura HMAC-SHA256 dentro de uma janela de cinco minutos ou com um token OIDC do Google, e um segredo bearer estático é rejeitado em produção.

15. Cada pedido de saída para um endereço fornecido pelo utilizador (importações do Google Drive, webhooks) é verificado em relação a intervalos de endereços privados, incluindo após redirecionamentos e no momento da ligação.

16. O corpo de um pedido de API está limitado a 1 MiB e é verificado em relação a um esquema rigoroso que rejeita campos desconhecidos antes de o código o processar.

17. O tipo de ficheiro é determinado a partir dos próprios bytes e não da declaração do navegador, e qualquer ficheiro que exceda a quota do plano ou o limite por ficheiro é recusado antes do upload.

18. Cada caminho de objeto é verificado em relação ao prefixo da organização antes de ser assinado, lido ou eliminado, e os ficheiros são disponibilizados através de URLs assinados com limite de tempo (6 horas para visualização, 5 minutos para download).

19. As propostas de IA são guardadas como propostas e aplicadas apenas após a aprovação de uma pessoa, e o código de IA não pode abrir um âmbito de sistema sobre os dados do cliente; um gate de CI impõe esta restrição.

20. Cada deploy passa primeiro pelo conjunto completo de testes com cobertura, pelos gates de código e pelo npm audit no nível high; um deploy de produção também passa por um canary com readiness probes.