Seis controles ativos em toda requisição
Não há dado que trafegue pela plataforma sem passar por autenticação, autorização e registro.
Autenticação por token JWT
Cada sessão gera um token assinado com chave secreta exclusiva da plataforma, válido por tempo limitado. Tokens são transmitidos via cookie seguro e validados em toda requisição antes de qualquer dado ser retornado.
Controle de acesso por papel (RBAC)
Quatro níveis de permissão (Super Admin, Admin, Nomeado e Técnico de Campo) determinam o que cada usuário pode ver, criar, editar e excluir. Módulos financeiros e dados sensíveis são restritos a papéis administrativos.
Isolamento multi-tenant
Cada organização opera em um espaço de dados completamente isolado. Nenhum dado de um cliente é visível ou acessível por outro — a separação é aplicada a nível de banco de dados em toda consulta.
Criptografia em trânsito
Todas as comunicações entre o navegador, o servidor e o banco de dados trafegam exclusivamente via HTTPS/TLS. Não há transmissão de dados sensíveis em canais não criptografados.
Rate limiting e proteção contra força bruta
Requisições autenticadas são limitadas a 120 por minuto por IP. Rotas públicas sensíveis (login, recuperação de senha) aplicam limite de 10 requisições por minuto, bloqueando tentativas de força bruta automaticamente.
Content Security Policy (CSP)
Cada resposta da plataforma inclui um nonce criptográfico único que impede a execução de scripts não autorizados. A política CSP bloqueia ataques de injeção de código (XSS) por padrão em toda a aplicação.
Hospedado em infraestrutura de nível enterprise
O Zonnk utiliza o Supabase como camada de banco de dados — PostgreSQL gerenciado com backups automáticos, Row Level Security (RLS) nativo e replicação. Os dados são armazenados em servidores na região South America (São Paulo), mantendo seus dados no Brasil.
Quem pode ver o quê
O acesso a cada módulo é controlado pelo papel atribuído ao usuário dentro da organização. Administradores configuram as permissões — a plataforma garante o cumprimento.
Cada ação registrada, para sempre
Toda criação, edição ou exclusão de dado relevante gera um registro imutável com: quem fez, o que fez, quando, de qual IP, e o estado antes e depois da alteração.
Eventos rastreados automaticamente em toda a plataforma:
Reporte de vulnerabilidades
Se você identificou uma vulnerabilidade de segurança na plataforma, entre em contato diretamente com nossa equipe técnica. Não divulgue publicamente antes de nos contatar — trabalhamos com disclosure responsável.