Segurança

Segurança é parte do produto: você guarda no App do MEI dados seus e dos seus clientes. Esta página descreve, em linguagem direta, o que fazemos para protegê-los. É também a nossa política de divulgação responsável (/.well-known/security.txt).

Autenticação

• Senhas armazenadas com Argon2id; nunca em texto, nunca em logs.
• Verificação em duas etapas (TOTP) disponível para todos e obrigatória para a equipe do App do MEI.
• Passkeys (WebAuthn): login sem senha com biometria do aparelho, resistente a phishing.
• Limite de tentativas por conta e por IP, aviso por e-mail em login de aparelho novo, encerramento remoto de sessões.

Cifragem

• Transporte: TLS 1.2+ com HSTS; HTTP é redirecionado.
• Em repouso: CPF/CNPJ, chaves Pix e outros dados sensíveis são cifrados com AES-256-GCM e uma chave por conta (envelope), de modo que o vazamento de um banco não expõe o dado. Buscas usam índice cego (HMAC).
• Chaves mestras ficam fora do código e do repositório, com acesso restrito.

Isolamento entre contas

Toda consulta ao banco é filtrada pela conta autenticada (multi-tenant por account_id) e os testes automatizados verificam esse isolamento a cada mudança.

Trilha de auditoria

Alterações em contatos, documentos, cobranças, planos e segurança geram registros imutáveis e encadeados por hash SHA-256; uma âncora diária é gravada em local separado. Qualquer alteração retroativa fica detectável. O acesso do suporte à sua conta exige seu consentimento e fica nessa trilha.

Documentos

Orçamentos e contratos em PDF trazem um hash de autenticidade que qualquer pessoa confere em /verificar. Aceites e assinaturas registram nome, código verificado, IP, data e hora.

Infraestrutura

• Servidores no Brasil, com firewall, atualizações de segurança automáticas e acesso administrativo por chave SSH e 2FA.
• Backups diários cifrados, guardados por 35 dias, com teste de restauração mensal.
• Cabeçalhos de segurança (CSP com nonce, X-Frame-Options, Referrer-Policy) e proteção contra robôs (Turnstile) em formulários públicos.
• Segredos de provedores (Stripe, Pix, SMS) fora do webroot, com rotação ao menor sinal de exposição.

Pagamentos

Não armazenamos números de cartão. Cartões são processados pela Stripe (PCI DSS nível 1); recebemos apenas token, bandeira e últimos dígitos. Webhooks de pagamento são validados por assinatura e deduplicados.

Resposta a incidentes

Em caso de incidente com risco relevante aos titulares, comunicamos os afetados e a ANPD nos prazos legais, com descrição do ocorrido, dados envolvidos e medidas tomadas.

Divulgação responsável

Encontrou uma vulnerabilidade? Escreva para seguranca@appdomei.com com os passos para reproduzir. Pedimos que não acesse dados de terceiros nem interrompa o serviço; comprometemo-nos a responder em até 3 dias úteis, corrigir com prioridade e dar crédito público se desejar. Não acionaremos judicialmente pesquisadores que ajam de boa-fé dentro destas regras.