Sobre Segurança

Dados do Tenant A nunca vazam para o Tenant B. O header X-Business-ID é validado contra a posse do usuário no JWT + DB antes de qualquer query rodar. Cada repository foi auditado (58 arquivos), e há um lint test no CI que falha automaticamente se um dev futuro adicionar query sem filtro business_id.

Access tokens ficam só em memória (não em localStorage). Refresh tokens em cookie httpOnly, ilegível por JavaScript. WebSocket usa tickets de uso único (TTL 30s), não JWT-na-URL — previne vazamento via proxy log, browser history ou Referer.

Rotação de refresh token usa CAS atômico — se uma tentativa de replay é detectada, toda a chain de tokens do usuário é revogada (resposta a incidente). OTP de 6 dígitos é uso único com bcrypt cost 12. Rate limiter fail-closed quando Redis cai — usa fallback in-memory para brute-force ficar bloqueado mesmo com hiccup de infra.

Webhooks da Meta (WhatsApp Business API) exigem verificação de assinatura HMAC em produção — startup falha rápido se app_secret estiver vazio. Gateways de pagamento usam subtle.ConstantTimeCompare (anti timing-attack). Proteção replay 24h: payloads idênticos nessa janela são rejeitados como duplicatas.

Todos os endpoints mutating (POST/PUT/PATCH/DELETE) protegidos com CSRF token, não apenas /auth/*. Vue 3 auto-escapa todas interpolações — input de chat é renderizado sem v-html, então XSS via mensagens WhatsApp de atacantes é bloqueado. Headers de segurança completos: HSTS, X-Frame-Options DENY, X-Content-Type-Options nosniff, CSP report-only.

Config de produção é validada no startup — o servidor recusa subir se TOKEN_ENCRYPTION_KEY estiver vazio, JWT secret < 32 chars, ou CORS wildcard * setado em prod. Upload de arquivos é validado por MIME server-side (sniff dos primeiros 512 bytes — não confiamos no header do client) — .exe renomeado para .png é rejeitado.

Logs de produção são auto-sanitizados: erros SQL, stack traces, endereços de ponteiro e paths de código são removidos antes de gravar no arquivo. Tokens, senhas e secrets nunca são logados crus — só prefixo de 8 chars quando precisamos de trace. Cada request tem request-id para audit trail sem expor dados sensíveis.