Práticas de Segurança

As suas contas sociais são valiosas, pelo que consideramos a sua segurança a parte mais importante do PilotPost. A presente página descreve as medidas práticas que utilizamos atualmente.

1. Encriptação

• Todas as páginas e chamadas à API funcionam por HTTPS (TLS), com certificados renovados automaticamente.
• Os tokens de acesso às redes sociais e outras credenciais (como tokens de bots e palavras-passe de aplicação) são encriptados em repouso com AES-256-GCM.
• As palavras-passe nunca são guardadas de forma legível: conservamos apenas um hash bcrypt com salt.

2. A sua conta

• A verificação em dois passos com uma aplicação de autenticação está disponível em todas as contas e é obrigatória para administradores.
• A introdução repetida de códigos errados bloqueia temporariamente o início de sessão em dois passos.
• As ligações de redefinição de palavra-passe só funcionam uma vez e expiram ao fim de 60 minutos.
• A opção "Continuar com o Google" permite-lhe iniciar sessão sem uma palavra-passe do PilotPost.
• Na maioria das redes, inicia sessão na página da própria rede, pelo que nunca vemos as palavras-passe das suas redes sociais.

3. Infraestrutura

• Os servidores estão alojados na UE pela Hetzner, um fornecedor certificado segundo a norma ISO/IEC 27001.
• O acesso aos servidores utiliza exclusivamente chaves SSH (sem palavras-passe), com bloqueio automático de tentativas de início de sessão repetidas.
• Os serviços internos da aplicação não estão expostos à internet; apenas a porta de entrada web segura o está.
• É efetuada automaticamente uma cópia de segurança diária da base de dados.

4. Salvaguardas da aplicação

• Cada cliente só pode ver e utilizar os seus próprios dados e contas ligadas.
• A ligação de uma rede utiliza pedidos assinados e com prazo de validade, pelo que uma ligação não pode ser intercetada.
• As ferramentas gratuitas têm limites de utilização diários para prevenir abusos.
• Os scripts de análise e de publicidade só são carregados depois de aceitar os cookies.

5. O seu papel

• Utilize uma palavra-passe única e ative a verificação em dois passos.
• Remova na página Contas as contas ligadas que já não utiliza.
• Limite os acessos da equipa às pessoas que deles necessitam.

6. Comunicação de um problema de segurança

Caso considere ter encontrado uma vulnerabilidade, envie um email para support@pilotpost.social com os pormenores e conceda-nos um prazo razoável para a corrigir antes de a divulgar publicamente. Durante os testes, não aceda a dados de terceiros nem perturbe o Serviço. Agradecemos as comunicações feitas de forma responsável.