Segurança

Última atualização: 22 de outubro de 2026

Esta tradução é fornecida para sua conveniência; se divergir da versão em inglês, prevalecerá a versão em inglês.

A segurança é fundamental para a Waslo. Lidamos com comunicações comerciais sensíveis e dados de leads, e levamos essa responsabilidade a sério. Veja como protegemos seus dados.

Criptografia

Em Trânsito

Toda a comunicação entre seu navegador e a Waslo é criptografada com TLS (HTTPS). Solicitações à API, tokens de autenticação e todas as transferências de dados são criptografados em trânsito.

Em Repouso

Os dados sensíveis, incluindo o estado de autenticação dos canais (sessões do WhatsApp, tokens de atualização OAuth do Outlook / Google Calendar / Meta, tokens de bot do Telegram) e as credenciais de integrações de terceiros, são criptografados em repouso com criptografia autenticada de padrão do setor antes do armazenamento.

Autenticação e Controle de Acesso

  • Autenticação Baseada em Tokens: todas as solicitações à API são autenticadas com tokens seguros com expiração configurável.
  • Hash de Senhas: as senhas passam por algoritmos de hash robustos e com salt antes do armazenamento.
  • Verificação em Duas Etapas (opcional): qualquer usuário pode ativar códigos de um app autenticador (Google Authenticator, Microsoft Authenticator, 1Password e outros) em Configurações → Conta. Depois de ativada, ela é pedida após qualquer forma de login (senha, Google ou Apple), tanto no site quanto no app para iOS. Cada código funciona uma única vez, códigos incorretos são limitados por conta e dez códigos de recuperação de uso único cobrem a perda do celular.
  • Suporte a OAuth: o login com Google, Apple e GitHub oferece opções adicionais de autenticação segura.
  • Proteção de Login: a conta é bloqueada por 15 minutos após várias senhas incorretas, e os formulários de "esqueci a senha" e de verificação respondem da mesma forma, quer o e-mail esteja cadastrado ou não.
  • Links de Uso Único Armazenados com Hash: os links de redefinição de senha, verificação de e-mail e convite de equipe são armazenados apenas como hash, de modo que uma cópia do banco de dados nunca contém um link que funcione.
  • Limitação de Taxa: os endpoints da API são protegidos por limitação de taxa para prevenir ataques de força bruta e abusos.
  • Cabeçalhos de Segurança: aplicamos cabeçalhos HTTP voltados à segurança, incluindo Content Security Policy, X-Frame-Options e outros.

Isolamento de Dados Multilocatário

A Waslo é uma plataforma multilocatário. Cada consulta de dados é restrita à organização, extraída da sessão autenticada. Isso garante que uma organização jamais possa acessar os dados de outra organização, incluindo leads, conversas, configurações e integrações.

Monitoramento de Segurança

A Waslo mantém uma trilha de auditoria de segurança das solicitações recusadas e suspeitas: tentativas de ler ou alterar dados de outro workspace, webhooks que falham na verificação de assinatura, links que apontam para a nossa própria rede, logins e códigos de duas etapas com falha, chaves de API inválidas e rajadas de solicitações recusadas. Rajadas vindas de um mesmo endereço são agrupadas em vez de registradas uma a uma. Eventos de alta gravidade alertam a nossa equipe assim que acontecem, e um resumo diário é revisado. A trilha não guarda conteúdo de mensagens, senhas nem tokens, e é excluída após 180 dias.

Infraestrutura

Nossa plataforma é hospedada em infraestrutura em nuvem de nível empresarial, com:

  • HTTPS automático e proteção contra DDoS
  • CDN global para acesso rápido e confiável
  • Isolamento de rede entre serviços
  • Conexões criptografadas com o banco de dados e backups regulares
  • Rede privada para a comunicação entre serviços internos

Práticas de Segurança da Aplicação

  • Validação de entradas em todos os endpoints da API para prevenir ataques de injeção
  • Restrições de CORS para impedir solicitações de origem cruzada não autorizadas
  • Verificações de idempotência no processamento de mensagens para evitar tratamento duplicado
  • Nenhuma credencial padrão: todo acesso administrativo exige configuração explícita
  • Processamento criptografado de filas de mensagens para um fluxo de dados confiável e seguro

Chat do Site

  • Tokens de visitante com hash: o token que reconecta um visitante à sua conversa é armazenado do nosso lado apenas como um hash SHA-256.
  • Somente sites indicados: o widget responde apenas nos endereços de site que a empresa indicou; solicitações de qualquer outra origem são recusadas.
  • Verificação contra bots: o Cloudflare Turnstile é executado quando um visitante abre o chat pela primeira vez.
  • Domínio separado: o widget é servido a partir de waslo.org, separado do painel em waslo.io, portanto nunca compartilha cookies nem sessões com ele.

Rastreador de Sites

  • Identifica-se como WasloSiteBot/1.0 e respeita o robots.txt.
  • Lê apenas páginas HTTPS públicas do mesmo site e recusa endereços de redes privadas.
  • Até 3 análises por espaço de trabalho por dia; a empresa revisa as páginas antes que qualquer coisa seja importada.

O que Não Fazemos

  • Não armazenamos credenciais de canais sem criptografia: cada sessão do WhatsApp, token OAuth e token de bot é criptografado em repouso
  • Não compartilhamos seus dados com terceiros para fins publicitários
  • Não usamos os dados das suas conversas para treinar modelos de IA

Revisão Independente

A Waslo é revisada pelas plataformas com as quais se integra e por auditorias adversariais do nosso próprio código.

  • Microsoft: editor verificado (29 de maio de 2026). O acesso ao Outlook é construído sobre o Microsoft Graph.
  • Google: verificação OAuth aprovada (8 de junho de 2026). Somente escopos do Calendar; nunca solicitamos escopos de caixa de correio que não utilizamos.
  • Meta: App Review aprovado, aplicativo publicado (30 de junho de 2026). Abrange as permissões de mensagens da WhatsApp Cloud API, do Instagram e do Messenger.

Em julho de 2026, realizamos duas auditorias de segurança adversariais da superfície pública da API. Ambas as rodadas encontraram problemas, e os dois conjuntos foram corrigidos e cobertos por testes de regressão antes do lançamento, incluindo um contorno da proteção contra falsificação de solicitações do lado do servidor (SSRF), um parâmetro de estado OAuth não assinado e uma condição de corrida na dedução de créditos. Publicamos isso porque uma auditoria que não encontra nada geralmente é uma auditoria que não procurou.

Onde Seus Dados Ficam

  • Aplicação e banco de dados: hospedados em infraestrutura em nuvem gerenciada na UE, com conexões criptografadas, rede privada e backups automatizados.
  • Suboperadores: utilizamos um pequeno conjunto de provedores identificados para hospedagem, banco de dados, filas, e-mail transacional, armazenamento de mídia, monitoramento de erros, pagamentos e verificações contra bots do chat do site (Cloudflare Turnstile). Cada um está vinculado aos seus próprios termos de processamento de dados. A lista atual está publicada em nossa Política de Privacidade e é referenciada pelo nosso Acordo de Processamento de Dados.
  • Processamento de IA: o conteúdo das mensagens é enviado ao provedor do modelo para gerar uma resposta. Ele não é usado para treinar os modelos desse provedor.

Retenção e Exclusão

  • Você pode excluir sua conta pelo painel a qualquer momento; a exclusão remove os dados da sua organização em um prazo de 30 dias.
  • Os dados de conversas e de leads são retidos enquanto sua conta estiver ativa, pois o produto precisa deles para responder com contexto.
  • Os visitantes anônimos do chat do site são excluídos conforme o prazo escolhido pela empresa (de 30 a 365 dias após a última mensagem, 180 por padrão), e os resultados das análises de sites após 30 dias.
  • Artefatos efêmeros (áudio de voz hospedado, links de mídia, contadores de limitação de taxa) expiram automaticamente, normalmente em poucos minutos.

O que Não Afirmamos

Não temos certificação SOC 2 nem ISO 27001, não possuímos atestações HIPAA ou PCI e ainda não oferecemos login único (SSO ou SAML). Somos uma equipe pequena que constrói sobre infraestrutura auditada, e preferimos dizer isso a você a sugerir uma certificação que não conquistamos. Se o seu processo de compras exigir alguma, informe-nos antes de comprar.

Como Relatar Problemas de Segurança

Se você descobrir uma vulnerabilidade de segurança, relate-a de forma responsável enviando um e-mail para hello@waslo.io com o assunto "Security Report". Levamos todos os relatos a sério e responderemos prontamente.