Segurança da Informação
Atualizado em 11 de agosto de 2026
Esta página detalha os controles técnicos e organizacionais que protegem a plataforma Steel e complementa a Seção de Segurança da Política de Privacidade.
Segurança no ciclo de desenvolvimento
Toda alteração de código passa por verificação automatizada de lint e tipagem estática antes de chegar ao branch principal. A cada push, um pipeline de integração contínua executa checagem de dependências vulneráveis (auditoria de pacotes bloqueando severidade crítica), análise estática de código voltada a aplicações Next.js/React/TypeScript, e varredura de segredos expostos no repositório. O deploy em produção só é disparado após essa pipeline concluir com sucesso.
Proteção de dados em trânsito
Todo tráfego é servido sobre HTTPS/TLS, com HSTS configurado com pré-carregamento para forçar conexões seguras em todas as subdomínios. Cada requisição recebe uma Content Security Policy com nonce único, restringindo a execução de scripts a fontes confiáveis e mitigando ataques de injeção de conteúdo (XSS).
Autenticação e credenciais
Senhas nunca são armazenadas em texto plano — usamos um algoritmo de hash com custo computacional ajustável (Argon2), reconhecido como referência para armazenamento seguro de senhas. Suportamos login social (Google, GitHub), verificação por código enviado por e-mail e autenticação de dois fatores opcional. Detalhes adicionais estão na página de Controle de Acesso.
Limitação de taxa e proteção contra abuso
Endpoints sensíveis — autenticação, códigos de verificação, envio de e-mail, exportação de dados, upload de arquivos e API pública — possuem limitação de taxa dedicada, com bloqueio temporário após tentativas repetidas de autenticação malsucedida.
Monitoramento e auditoria
Eventos relevantes de autenticação e mutações de dados sensíveis são registrados em uma trilha de auditoria estruturada, independente dos logs técnicos gerais. A disponibilidade dos principais componentes da plataforma (aplicação, banco de dados, cache, autenticação, pagamento, e-mail e armazenamento) é monitorada por sondas automatizadas, com status público em /status.
Frameworks de referência
Estruturamos nossos controles a partir dos critérios de confiança do SOC 2 (Trust Services Criteria), da ISO 27001 e dos princípios de segurança e minimização da LGPD/GDPR, como referência de boas práticas. Essa referência não constitui certificação: o Steel não possui, até o momento, certificação SOC 2 (Type I ou Type II), ISO 27001 ou equivalente emitida por auditor independente, e nenhum conteúdo desta página deve ser interpretado como garantia de conformidade com qualquer framework de certificação.
Divulgação responsável de vulnerabilidades
Relatos de vulnerabilidades podem ser enviados para juridico@stratustelecom.com.br. Pedimos que o teste se limite ao necessário para demonstrar a falha, sem acessar, modificar ou extrair dados de outros workspaces.
