Os controles que rodam, e os que ainda não construímos.

Chaves

Cada organização tem a própria chave de criptografia, então a chave de uma não abre os dados selados de outra.

Ledger

Alterações de saldo são só de inserção, garantidas por um gatilho no banco. Webhooks de pagamento precisam de assinatura válida.

Senhas

De 12 a 256 caracteres, com e-mail verificado obrigatório.

Segundo fator

TOTP com códigos de backup, e passkeys.

Novos dispositivos

Entrar com senha em um dispositivo não confiável exige um código único por e-mail. O código fica guardado como hash com chave, vale 10 minutos, funciona uma vez e permite 5 tentativas.

Dispositivos confiáveis

Lembrados por 30 dias, guardados com hash e revogáveis.

Sessões

14 dias em cookie HttpOnly, Secure e SameSite=Lax. Você pode listar suas sessões e revogá-las.

Checagem contra bots

Cloudflare Turnstile em login, cadastro e redefinição de senha, verificado no servidor. Em produção, se falhar, bloqueia.

Chaves de API

Guardadas como HMAC-SHA-256 com pepper no servidor e mostradas uma vez. A chave pode ter listas de IPs e modelos permitidos, orçamento e validade. A revogação é imediata.

Acesso da equipe

Login no admin

Só com passkey. A sessão dura 8 horas e termina após 30 minutos ociosa, e há lista de IPs opcional.

Alterações no admin

Registradas com o autor, a ação, o alvo e os valores antes e depois.

Ajustes no ledger

Qualquer valor acima de US$ 100 precisa de uma segunda aprovação.

Personificação

A equipe não tem recurso para agir como cliente.

Em trânsito

TLS do navegador até a Cloudflare, com HSTS de 2 anos e preload, depois TLS da Cloudflare até nossa origem. O gateway fala por HTTPS com parceiros de data center de IA nos Estados Unidos e na China. Os serviços dentro da nossa rede privada conversam em texto claro.

Senhas

Senhas de conta, de bloqueio de chat e de compartilhamento usam scrypt. Tokens de compartilhamento ficam como SHA-256.

Chats efêmeros

Os eventos de execução usam uma chave aleatória de 32 bytes por execução, só na memória do processo.

Sem criptografia por coluna

Nome, e-mail, telefone, endereço de cobrança, CPF ou CNPJ, endereço IP e metadados de uso são colunas comuns do banco.

Cache de idempotência

Se você envia um Idempotency-Key em uma chamada sem streaming, a resposta completa fica na memória do processo do gateway por 24 horas, para que uma nova tentativa receba a mesma resposta. Ela nunca vai para o disco, só sua organização consegue reaproveitá-la e um reinício apaga tudo.

Rótulos das etapas de ferramenta

As execuções de chat registram em texto claro o alvo de cada chamada de ferramenta, sem expiração automática: a consulta de busca na web, a consulta de busca em arquivos, a consulta de CVE, o nome do arquivo ou o hostname do read_url. As URLs de citação também ficam em texto claro.

Treinamento de modelos

Não usamos conteúdo de clientes para treinar modelos de IA nem para análise de modelos. Metadados são analisados para cobrança, monitoramento de abuso e operação.

Parceiros de data center de IA

Todos os parceiros ficam nos Estados Unidos ou na China e confirmaram à NotHoly que não retêm, não armazenam nem usam o conteúdo da inferência. A NotHoly os verifica e checa periodicamente.

Em repouso

Nome, bytes e texto extraído são selados com uma chave por arquivo antes de serem guardados. A análise grava o arquivo decifrado em um diretório temporário e o remove ao terminar. O registro do arquivo mantém só o hash, o tamanho e o tipo MIME em texto claro, e o nome do arquivo pode aparecer em um rótulo de etapa de ferramenta.

Desenho do sandbox

Cada análise ganha um contêiner novo sem rede, com raiz somente leitura, limites de memória, CPU e processos, todas as capabilities removidas, usuário sem privilégio e nenhum segredo.

Em produção hoje

O harness de produção não tem o executor do sandbox, e nada mais analisa os envios. O arquivo fica selado no armazenamento, marcado como rejeitado, e não é analisado até o sandbox ser ligado.

Origem

As portas 80 e 443 só aceitam conexões das faixas de endereços da Cloudflare. Os serviços internos escutam em loopback.

Acesso ao servidor

SSH somente por chave, com fail2ban.

read_url

Só http e https públicos, nas portas 80 e 443. Cada endereço resolvido é conferido, a conexão fica presa ao IP conferido e cada redirect é conferido de novo. Nenhum cookie é enviado, tamanho e tempo têm limite e o robots.txt é respeitado.

Tráfego para terceiros

Nossos servidores não fazem scan, exploração nem tráfego ativo contra sistemas de terceiros. O read_url só lê páginas públicas. Os comandos do CLI rodam na sua máquina, depois que você aprova.

Métricas

Prometheus e Grafana no nosso próprio host, presos ao loopback. As métricas têm só rótulos e contagens, e ficam 30 dias.

Logs da aplicação

IDs de requisição, status e erros, nunca o corpo da requisição. Rotacionados por tamanho, em 3 arquivos de 10 MB por contêiner.

Auditoria da equipe

Autor, ação, alvo, valores antes e depois, endereço IP e user agent.

Auditoria da organização

Organizações do tipo empresa podem ver os últimos 100 registros em Configurações, se o papel permitir.

Criptografia

AES-256, com chave derivada por PBKDF2 em 200.000 iterações.

Retenção

14 cópias diárias, 8 semanais e 12 mensais. Dados que você apaga podem continuar em um backup por cerca de 12 meses.

Teste de restauração

Um teste por script restaura o backup mais recente em um banco descartável, confere o checksum e verifica se cada tabela existe e não tem mais linhas que a do banco em uso. Ele ainda não roda em horário agendado.

Janela de perda

Uma falha entre backups pode perder até um dia de gravações.

Onde

[email protected]. Nosso security.txt fica em /.well-known/security.txt.

O que mandar

A URL ou o componente afetado, os passos para reproduzir e o impacto que você observou.

Escopo

notholy.com, api.notholy.com e docs.notholy.com. Não teste dados de outros clientes, não faça teste de negação de serviço e pare quando tiver mostrado o impacto.

Do nosso lado

Confirmamos o recebimento, mantemos você informado enquanto corrigimos e não vamos processar pesquisa de boa-fé que siga estas regras.

Recompensas

Não temos programa de bug bounty pago.