Seguranca e Protecao de Dados

Ultima atualizacao: agosto de 2026

Transparencia: Este documento descreve as praticas de seguranca adotadas internamente pela equipe do VITHAX. As informacoes aqui refletem uma avaliacao interna de seguranca, e nao constituem certificacao externa ou auditoria independente realizada por empresa certificadora. Nenhuma plataforma pode garantir seguranca absoluta. Nosso compromisso e aplicar as melhores praticas conhecidas, corrigir vulnerabilidades identificadas e ser transparentes sobre o que fazemos.

Resumo da avaliacao

A ultima avaliacao interna de seguranca foi realizada em julho de 2026 e cobriu autenticacao, autorizacao, protecao contra XSS, controle de CORS e isolamento multi-tenant.

Vulnerabilidades criticas

Vulnerabilidades altas

Vulnerabilidades medias

Controles avaliados

Controles de seguranca

Cada area do sistema passou por verificacao com testes automatizados (unitarios e E2E) e validacao manual em producao.

🔐

Autenticacao obrigatoria

Todas as APIs e Edge Functions exigem JWT valido. Requisicoes sem autenticacao sao rejeitadas com HTTP 401.

🏢

Isolamento entre empresas

Row Level Security (RLS) ativo em todas as tabelas. Cada empresa acessa exclusivamente seus proprios dados — validado por testes E2E.

🌐

CORS restritivo

Padrao fail-closed: apenas o dominio www.vithax.com.br e aceito como origin. Origins nao autorizadas nao sao refletidas.

🛡️

Protecao contra XSS

Todos os dados inseridos pelo usuario passam por escape antes de serem exibidos. Previne injecao de scripts maliciosos.

💰

Integridade de precos

Valores de planos sao definidos no servidor. Precos enviados pelo cliente sao ignorados — o backend usa a tabela oficial.

🔑

Sessao unica

Ao entrar em um novo dispositivo, a sessao anterior e encerrada automaticamente. Ninguem fica logado sem voce saber.

Testes automatizados de seguranca

O VITHAX possui uma suite de testes focada em seguranca, executada antes de cada release:

Testes unitarios (Jest)

Autenticacao: JWT ausente, invalido, erro de rede, ambiente mal configurado — todos retornam 401
Planos: plano invalido retorna 400; precos sao os do backend, nao do cliente
CORS: origin permitida recebe header; origin nao permitida nao e refletida; variavel ausente nao envia header

Testes end-to-end (Playwright)

Edge Functions: validacao de JWT, rejeicao de destinatario spoofado, payload invalido
CORS: verificacao de headers em producao com origins reais
Multi-tenancy: confirmacao de que nenhum dado de outra empresa e retornado via RLS

Infraestrutura

Banco de dados: PostgreSQL gerenciado pelo Supabase, com RLS (Row Level Security) ativo em todas as tabelas
Autenticacao: Supabase Auth com JWT, bcrypt para senhas
Comunicacao: HTTPS em todas as conexoes (TLS 1.2+)
Hosting: Vercel (frontend estatico) e Supabase (backend), ambos com infraestrutura SOC 2 Type II
Pagamentos: Processados via Asaas — nenhum dado de cartao transita pelo VITHAX

Compromisso com transparencia

Acreditamos que seguranca se constroi com praticas consistentes e transparencia, nao com promessas absolutas. Por isso:

Publicamos os resultados da nossa avaliacao interna nesta pagina
Mantemos testes automatizados de seguranca que rodam a cada release
Corrigimos vulnerabilidades identificadas antes de publicar novas versoes
Nao alegamos certificacoes que nao possuimos

Se voce identificar uma vulnerabilidade ou tiver duvidas sobre nossas praticas de seguranca, entre em contato pelo e-mail vithax.sistemas@gmail.com.

Avaliacao interna realizada pela equipe de desenvolvimento do VITHAX em julho de 2026, revisada em agosto de 2026. Este documento nao constitui certificacao externa, auditoria independente ou garantia absoluta de seguranca. Consulte tambem nossa Politica de Privacidade e Termos de Uso.