Segurança

Como as integrações são protegidas

• Tudo por HTTPS. Use sempre https:// — tokens e senhas nunca devem trafegar em texto puro.
• Isolamento por conta. Os dados de cada cliente ficam separados; o token determina a conta, e um id de outra conta se comporta como inexistente.
• Mesmas permissões da tela. API, Tali e servidor MCP aplicam a mesma regra de acesso da plataforma. Nenhuma integração enxerga mais que o usuário por trás dela.
• Credenciais separadas por finalidade. O token de login vale para a API REST; tokens pessoais e OAuth valem só para o servidor MCP.
• Segredos com hash. Tokens pessoais são guardados apenas como hash; nem a TAI consegue exibi-los de novo.
• Ações irreversíveis exigem pessoa. Aprovar, pagar, transmitir, fechar e excluir não são executados por agentes externos.
• Webhooks só para a internet pública, por HTTPS e sem seguir redirecionamentos.

Sua parte

• Use um usuário dedicado por integração, com o mínimo de permissões.
• Guarde tokens e senhas num cofre de segredos — nunca no código, em repositório ou em log.
• Revogue tokens que não usa e prefira validades curtas.
• Proteja o endpoint que recebe webhooks com um segredo.

Reportar uma vulnerabilidade

Se você encontrou uma falha de segurança, escreva para contato@taitecnologia.com com o assunto “Vulnerabilidade”, descrevendo como reproduzir. Pedimos que:

• não acesse, altere nem apague dados de outras empresas;
• não faça testes que degradem o serviço;
• não divulgue a falha antes de a corrigirmos.

Todo relato é analisado, e você é mantido informado sobre a correção.