Segurança
Como protegemos o que é seu.
Segurança é camada sobre camada. Aqui está o que fazemos, sem exagero e sem segredo.
Medidas de segurança
Isolamento por Spot
Cada site roda numa conta isolada (CloudLinux LVE e CageFS). Um site não enxerga os arquivos do outro, e um ataque a um não consome os recursos dos demais.
Login com dois fatores
Clientes entram com senha e um código enviado por e-mail a cada dispositivo novo. O dispositivo pode ser lembrado por até 30 dias. A equipe Altiva usa chave física (FIDO2).
Backup fora do servidor
Cópia diária cifrada em outro local, com 30 dias de histórico e teste de restauração toda semana.
Proteção ativa
Firewall de aplicação, antimalware Imunify360, bloqueio de força bruta e atualizações de segurança do sistema sem reiniciar.
Trilha de auditoria
Toda ação sensível fica registrada: quem fez, o quê, onde e por quê. Quando a equipe acessa a sua conta, você é avisado e vê o motivo.
Pagamentos tokenizados
Dados de cartão ficam com os processadores de pagamento (Efí Bank e ifthenpay). Nunca passam pelo nosso banco de dados.
Selos verificáveis
Nada de selo decorativo: cada item abre o teste público de terceiros no nosso domínio ou a política que o comprova.
- Criptografia TLS Qualys SSL Labs TLS 1.2 e 1.3, HSTS ativo, certificado válido. Verificar agora no site Qualys SSL Labs (abre em nova aba)
- Cabeçalhos de segurança Security Headers CSP com nonce, proteção contra clickjacking e MIME sniffing. Verificar agora no site Security Headers (abre em nova aba)
- Boas práticas web Mozilla Observatory Avaliação independente de configuração de segurança. Verificar agora no site Mozilla Observatory (abre em nova aba)
- Site seguro Google Safe Browsing Sem malware ou phishing segundo o Google. Verificar agora no site Google Safe Browsing (abre em nova aba)
- Pagamento protegido Efí Bank e ifthenpay Dados do cartão ficam com o processador, nunca nos nossos servidores. Ver detalhes
- LGPD e RGPD Canal do titular Encarregado de dados, coleta mínima e pedidos respondidos em até 15 dias. Ver detalhes
- Acessibilidade WCAG 2.2 AA Auditoria publicada Contraste, teclado, leitores de tela e zoom de 400%. Ver detalhes
- Divulgação responsável RFC 9116 Canal público para relatar falhas, com security.txt. Ver detalhes
Pagamentos
No Brasil, Pix, boleto e cartão são processados pela Efí Bank. Em euro, MB WAY, Multibanco, SEPA e cartão são processados pela ifthenpay. O número do cartão é digitado no ambiente do processador e guardado por ele em formato tokenizado: a Altiva nunca recebe nem armazena o número completo, a validade ou o código de segurança.
Encontrou uma falha? Conte para a gente.
Se você encontrou uma vulnerabilidade no site, no painel ou na nossa infraestrutura, escreva para suporte@altivahub.com.br com os passos para reproduzir.
- Respondemos em até 3 dias úteis e mantemos você informado até a correção.
- Não tomaremos medida legal contra quem pesquisar de boa-fé, sem acessar ou alterar dados de clientes além do mínimo necessário para provar a falha, sem derrubar serviços e sem divulgar antes da correção.
- Fora do escopo: ataques de negação de serviço, engenharia social contra a equipe ou clientes e testes físicos.
Arquivo de contato padrão: /.well-known/security.txt.
Incidentes com dados pessoais
Se acontecer um incidente de segurança que possa trazer risco ou dano relevante a titulares de dados, comunicamos a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas no prazo previsto na regulamentação da ANPD, com o que aconteceu, quais dados foram envolvidos e o que fizemos.