Segurança no Kodo

Infraestrutura

O Kodo roda na Vercel para hospedagem e computação, com um banco Postgres gerenciado (Neon) para os dados da aplicação. Quando precisamos de armazenamento de objetos (por exemplo, os relatórios em PDF nos planos Vencer), usamos o Vercel Blob. Nossa região principal de deploy são os Estados Unidos. A Vercel cuida do tráfego de borda, terminação TLS e mitigação de DDoS na borda da rede. O Neon cuida da replicação do banco, recuperação a um ponto no tempo e backups gerenciados.

Os dois fornecedores publicam a própria documentação de segurança, que você pode ler diretamente: vercel.com/security e neon.tech/security. Ambos são certificados SOC 2 Type II.

Criptografia

Todo tráfego entre o seu navegador e o Kodo é criptografado com TLS 1.2 ou superior. Não aceitamos conexões em HTTP puro. As conexões de banco entre nossos servidores de aplicação e o Postgres também são criptografadas com TLS. Os dados em repouso no banco são criptografados com AES-256 pelo provedor do banco. Os backups gerenciados são criptografados com o mesmo padrão.

Não armazenamos senhas. A autenticação é tratada pelo Clerk, que usa hash de senha padrão da indústria e suporta opções modernas sem senha (passkeys, magic links, login social).

Autenticação e acesso

A autenticação dos usuários é tratada pelo Clerk. O Clerk suporta autenticação multifator (MFA) para contas que habilitarem, e recomendamos ligar. As sessões usam cookies seguros e HTTP-only com as flags Secure e SameSite ativas.

O acesso interno aos sistemas de produção é limitado ao time pequeno de engenheiros que precisa dele para operar o serviço. Cada membro do time entra nos consoles dos fornecedores via single sign-on com MFA obrigatório. O acesso ao banco de produção é registrado em log. Rotacionamos credenciais em um cronograma regular e imediatamente quando a função de um membro do time muda.

Segurança da aplicação

A aplicação segue práticas padrão de segurança web:

• Cabeçalhos de Content Security Policy para limitar quais scripts e recursos o navegador carrega.
• Strict Transport Security (HSTS) para que os navegadores se recusem a falar com o Kodo em HTTP puro.
• Cookies seguros, HTTP-only, SameSite para qualquer estado de sessão.
• Consultas parametrizadas no banco via nosso ORM. Não construímos SQL por concatenação de strings, o que fecha a porta da injeção na origem.
• Validação de entrada no servidor em cada endpoint da API, usando bibliotecas de validação por schema.
• Rate limiting em endpoints públicos (incluindo a verificação grátis) para frear abuso e tentativas de credential stuffing.
• Varredura de dependências em cada pull request para que percebamos quando uma biblioteca que usamos tem uma vulnerabilidade conhecida.

Processadores terceirizados

Usamos uma lista curta de fornecedores para entregar o produto. Cada um foi escolhido porque a postura de segurança deles é bem documentada e adequada aos dados que processam:

• Vercel para hospedagem, computação de borda e TLS.
• Neon para Postgres gerenciado, backups e recuperação a um ponto no tempo.
• Clerk para autenticação de usuários e gestão de sessão.
• Stripe para processamento de pagamentos. O Stripe é certificado PCI-DSS Nível 1. Nunca vemos ou armazenamos números completos de cartão; o Stripe cuida disso na própria infraestrutura.
• Resend para e-mail transacional (seu relatório, atualizações mensais, avisos de segurança).
• APIs de assistentes de IA da OpenAI, Anthropic, Google e xAI, usadas para rodar as verificações que prometemos. Enviamos as perguntas públicas que um cliente faria (por exemplo, "melhor barbeiro na Vila Madalena"). Não enviamos dados de conta ou informações pessoais.

A lista completa de fornecedores e o que cada um processa fica na nossa política de privacidade.

Monitoramento e resposta a incidentes

Monitoramos a produção em busca de padrões de tráfego incomuns, picos de erro e tentativas falhas de autenticação. Alertas críticos acionam o engenheiro de plantão. Revisamos logs semanalmente e depois de qualquer incidente relevante.

Se descobrirmos um incidente de segurança que afete dados de usuários, notificaremos os usuários afetados sem atraso indevido, e em qualquer caso dentro de 72 horas da confirmação do incidente. Isso bate com a janela de notificação do GDPR. O aviso vai te dizer o que aconteceu, quais dados foram envolvidos, o que fizemos a respeito e o que (se algo) você deve fazer do seu lado.

Backups e recuperação

O banco é copiado diariamente pelo provedor gerenciado de Postgres, com recuperação a um ponto no tempo para os últimos 7 dias. Os backups são criptografados e armazenados na mesma região do banco principal. Testamos o procedimento de restore trimestralmente em um ambiente de staging para saber que funciona de verdade antes de precisarmos dele.

Privacidade e minimização de dados

Coletamos o mínimo necessário para rodar a verificação e entregar o relatório: o nome do seu negócio, a cidade em que você está e (nos planos pagos) o endereço de e-mail para onde mandamos as atualizações. Não pedimos seu cartão na verificação grátis. Não vendemos dados. Não compartilhamos as informações da sua conta com outros clientes.

O detalhamento completo do que coletamos, por quanto tempo guardamos e como pedir exclusão fica na política de privacidade.

O que ainda não fazemos

Ser honesto sobre as lacunas importa tanto quanto listar as práticas. Aqui está o que ainda não temos hoje:

• Certificação SOC 2. Seguimos as práticas que uma auditoria SOC 2 procura, mas ainda não somos certificados. Pretendemos buscar SOC 2 Type II conforme crescermos.
• Programa formal de bug bounty. Ainda não rodamos uma recompensa paga. Aceitamos e respondemos a reportes de vulnerabilidade em [email protected] (veja abaixo).
• Questionários de segurança customizados para compras enterprise. Estamos focados em pequenos negócios, não em ciclos de compra enterprise. Se você precisa de uma revisão aprofundada de segurança para uma organização grande, o Kodo ainda não é a escolha certa.
• Relatórios de teste de intrusão sob demanda. Fazemos revisões internas de segurança a cada release relevante. Teste de intrusão por terceiros está no roadmap.

Reportar uma vulnerabilidade

Se você acha que encontrou um problema de segurança no Kodo, por favor, envie e-mail para [email protected]. Inclua os passos para reproduzir, o impacto que você acha que tem e qualquer prova de conceito que você se sinta confortável em compartilhar. Respondemos dentro de 5 dias úteis, geralmente em 1.

Não tomaremos medidas legais contra pesquisa de segurança de boa-fé, desde que você não acesse dados de usuários além do necessário para provar o problema, não degrade o serviço para outros usuários e nos dê uma janela razoável para corrigir o problema antes da divulgação pública.

Última atualização: 28 de maio de 2026. O Kodo é um time pequeno. Esta página descreve as nossas práticas atuais, não uma certificação. Atualizamos conforme o produto evolui.