Segurança

Reportar um problema de segurança

Se você encontrar uma vulnerabilidade, escreva para security@mb-suite.com com os passos para reproduzi-la, o request_id se tiver e o impacto que vê. Não teste contra dados de outras organizações nem degrade o serviço de ninguém.

Como protegemos as suas credenciais e dados

• As API keys e os tokens ficam guardados como hash: ninguém pode lê-los de novo, nem o MB Suite. Por isso aparecem uma única vez.
• Uma credencial nunca pode mais do que a pessoa que representa, e cada chamada fica no registro de auditoria em nome dessa pessoa.
• Revogar uma API key ou desconectar um app corta na hora: cada pedido verifica a credencial de novo.
• Os segredos de assinatura dos webhooks e os valores dos cabeçalhos fixos ficam num gerenciador de segredos, fora do banco de dados.
• O em massa, o irreversível e o que envia algo para fora do MB Suite ou tem um custo à parte pedem uma confirmação à parte fora da tela, e a maior parte do que é excluído fica 30 dias na lixeira.
• Os webhooks vão só para servidores públicos por https://, sem seguir redirecionamentos.

O que cabe a você

• Guarde as API keys como segredos (variáveis de ambiente, um gerenciador de segredos), nunca no código de uma página web nem num repositório.
• Dê a cada integração a sua própria API key, com os módulos e permissões necessários, e sem exclusão se não precisar.
• Use vencimentos e rotacione as API keys de vez em quando; se uma ficar exposta, revogue-a.
• Verifique a assinatura de cada webhook e recuse os t antigos.
• Revise de vez em quando quais apps têm acesso, em Configurações → API e MCP → MCP.