Criptografia autenticada
Tokens do Meta e Google, e-mails de usuários e de clientes, segredos de 2FA e links ficam cifrados com XChaCha20-Poly1305. Cada valor é amarrado ao seu registro: copiar um token cifrado para outra conta faz a leitura falhar.
Segurança
Como protegemos os seus dados e os dos seus clientes.
O Garbify foi construído do zero, sem plugins nem dependências de terceiros no servidor. Cada linha que mexe com dados foi escrita pensando em quem poderia tentar abusar dela.
Chaves fora do banco
As chaves de criptografia ficam num arquivo de configuração fora da pasta pública e fora do banco de dados, com suporte a rotação. Vazar só o banco não revela os segredos.
Senhas com Argon2id + pepper
Senhas nunca são guardadas: só um hash Argon2id, temperado com uma chave secreta externa. Exigimos senhas fortes e bloqueamos as óbvias.
Bloqueio contra força bruta
Limite de tentativas por IP e por conta, bloqueio progressivo, tempo de resposta igual para conta existente ou não, e alerta por e-mail quando algo estranho acontece.
Isolamento entre assinantes
Toda leitura de cliente, conta, relatório ou envio é filtrada pelo seu workspace no servidor. IDs públicos são aleatórios (não sequenciais) e tentativas de acesso cruzado são bloqueadas e registradas.
Verificação em duas etapas
TOTP compatível com qualquer app autenticador, códigos de recuperação de uso único e QR Code gerado no próprio servidor (a chave nunca passa por terceiros).
Sessões controladas
Sessões no servidor com cookie protegido (__Host-, HttpOnly, SameSite), expiração por inatividade, troca de identidade a cada login e lista de dispositivos para encerrar remotamente.
Links de relatório seguros
Cada link tem 192 bits aleatórios (impossível de adivinhar), validade configurável, senha opcional, revogação imediata e não é indexado por buscadores.
Somente leitura nas plataformas
Pedimos o mínimo de permissões para ler resultados. O token do Meta é assinado com appsecret_proof e o login Google usa PKCE. Ao desconectar, os tokens são apagados.
Proteções da aplicação
Política de conteúdo (CSP) sem scripts inline, tokens anti-CSRF, consultas sempre parametrizadas, validação por lista branca em toda entrada, uploads redesenhados no servidor e chamadas externas só para hosts autorizados.
Auditoria à prova de adulteração
Ações sensíveis entram numa trilha encadeada por hash. Se alguém apagar ou editar um registro, a corrente quebra e a adulteração fica evidente.
LGPD na prática
IPs guardados só como hash, contatos dos clientes cifrados, exportação dos dados em um clique e exclusão definitiva quando você quiser.
Encontrou uma vulnerabilidade?
Agradecemos a divulgação responsável. Escreva para seguranca@garbify.com.br com os detalhes. Respondemos em até 2 dias úteis e não tomamos medidas contra pesquisas feitas de boa-fé, sem acesso a dados de terceiros e sem interromper o serviço.