Visão geral de segurança

Isolamento de tenant

As linhas de cada workspace são separadas por segurança em nível de linha aplicada no Postgres, não só no código da aplicação; os índices de busca foram feitos para funcionar sob essa política, não em volta dela. Arquivos enviados ficam sob chaves por workspace e são servidos como download, a não ser que sejam imagens; arquivos em um chat chegam aos visitantes por links que expiram após dez minutos. Um workspace suspenso ou encerrado interrompe de uma vez cada chave de API, token de app e de bot, sessão, chat e conexão ao vivo. As fotos são guardadas sem a localização, o dispositivo e outros metadados que os celulares gravam nelas.

Identidade

Senhas usam Argon2id. Cada pessoa pode ativar a autenticação de dois fatores na página de segurança da conta: escaneie um QR code desenhado no navegador, confirme com um código e guarde códigos de recuperação de uso único; desativar exige a senha e um código. A mesma página lista cada navegador conectado, para desconectar um ou todos os outros. Workspaces podem adicionar seus próprios provedores de login único via OpenID Connect, restritos aos seus domínios de e-mail; quem ativou dois fatores continua precisando informar o código. Administradores podem exigir dois fatores de todos os membros, na hora ou após um período de carência de sete ou catorze dias, e os administradores da própria plataforma Kommio são obrigados a usá-los. Sessões ficam no servidor, com vida absoluta e por inatividade. Chaves de API, tokens de bot e tokens de app são guardados como hashes, restritos a um workspace e a um conjunto de permissões.

Autorização

Papéis decidem permissões, quais conversas uma pessoa vê e se campos sensíveis como e-mails, telefones, dados de pagamento e endereços IP ficam visíveis, mascarados ou ocultos. Ninguém pode criar um papel, alterar um membro, convidar alguém ou aprovar um app com mais do que tem. Automações rodam com as permissões de quem as criou; apps rodam com os escopos que um administrador aprovou na instalação. Desativar ou remover um membro, restringir o papel dele, revogar uma chave de API ou suspender um workspace mostra antes o que isso afeta e exige digitar o e-mail, o nome da chave ou o nome do workspace; as regras, bots, webhooks e apps de um membro que sai podem ser passados a um colega que tenha as permissões necessárias, e regras cujo autor saiu ficam pausadas até que alguém as assuma. Atributos personalizados que guardam documentos de identidade, dados de pagamento ou outros dados pessoais podem ser marcados para seguir as mesmas regras, e a página Acesso mostra, para cada pessoa, quais conversas ela vê e como vê cada tipo de dado. Arquivos que contêm um documento de identidade ou outros dados pessoais podem ser marcados na conversa ou por uma regra, e passam a seguir a mesma permissão: exibidos, mascarados ou ocultos conforme o papel, nunca enviados a um provedor de IA, listados nas exportações só para quem pode vê-los, e excluídos após o período de retenção que o workspace define para documentos de identidade.

Auditoria

Cada alteração registra quem, o quê, antes e depois. Revelar um valor mascarado é uma permissão à parte e grava a sua própria entrada de auditoria, com motivo opcional, e a página Política de segurança lista quem revelou o quê nos últimos 30 dias, com link para o registro de auditoria. Quando o próprio site de um cliente atualiza o nome ou o e-mail de um contato no login, ou une um chat anônimo anterior, a alteração é registrada e mostrada no contato. Cada e-mail recebido também é guardado exatamente como chegou, por 90 dias por padrão (uma configuração do espaço de trabalho), e apagado assim que o contato é excluído; só quem gerencia caixas de entrada e pode ler a mensagem inteira sem máscara consegue baixar uma cópia, e cada download fica registrado na auditoria.

Criptografia

Credenciais de canal, segredos de SSO, chaves de provedores de IA e tokens são criptografados em repouso com criptografia de envelope e nunca mais são exibidos depois de salvos. TLS é usado em todo o trânsito.

Chat no site

Quais sites podem exibir o chat de um workspace é garantido pelo próprio navegador. Um visitante só vira contato quando existe uma conversa: um visitante anônimo é conhecido só por um token aleatório no navegador dele, sem fingerprinting do navegador, e um visitante logado, cuja identidade o site garante, é mantido como uma sessão de chat, não como contato, até que ele escreva, um agente inicie um chat com ele ou ele deixe um e-mail; uma sessão sem atividade por 30 dias (o período é uma configuração do workspace) é excluída. O contexto de navegação só é enviado com a primeira mensagem. O site de um cliente identifica visitantes logados com uma assinatura do próprio servidor, e um e-mail digitado no chat nunca liga duas pessoas por si só. Cada workspace decide se os endereços IP dos visitantes são guardados completos, encurtados ou não são guardados.

Assistência de IA

Desativada até que um administrador a ative, com a cota gratuita de IA do Kommio Cloud ou com a chave de provedor do próprio workspace. Só é enviado o que a tarefa precisa: mensagens recentes, o nome do cliente, e e-mails ou telefones só quando quem pede pode vê-los. Campos de pagamento e de documento de identidade, números de cartão digitados em mensagens, notas privadas nas sugestões de resposta e atributos personalizados nunca são enviados. O Kommio não guarda prompts nem respostas, só contagens de uso para o orçamento. O agente de IA opcional responde só com base na sua base de conhecimento, nunca mostra conteúdo interno aos clientes, não recebe e-mails nem telefones dos contatos e passa para uma pessoa quando não tem certeza.

Confiança de entrada e saída

Webhooks de provedores são verificados por assinatura antes de serem lidos. Requisições de saída para URLs fornecidas por clientes (webhooks, bots, apps, provedores de IA) passam por um único cliente à prova de SSRF que recusa faixas privadas e limita tamanho e tempo. Webhooks de saída, entregas a bots e hooks de apps são assinados. Corpos de e-mail em HTML são sanitizados ao gravar e de novo ao exibir. Instalações auto-hospedadas podem analisar com o ClamAV cada arquivo enviado ou recebido antes de armazená-lo: um arquivo detectado é recusado ou substituído por um aviso e nunca é servido. Vem desativado por padrão, e o Kommio Cloud ainda não analisa arquivos.

Navegador

O app do agente é servido com uma Content Security Policy estrita: scripts, fontes e conexões só da própria origem, sem frames nem objetos, e ele não pode ser incorporado. Painéis de apps rodam em iframes isolados com um contexto assinado e de curta duração.

Operações

Papéis de banco com privilégio mínimo, verificação de dependências e de contêiner a cada mudança, versões que só saem depois que toda a suíte de testes passa e a atualização a partir das versões anteriores foi ensaiada, e um processo de divulgação documentado. O Kommio Cloud atualiza sem tempo de inatividade: a nova versão sobe ao lado da antiga e assume quando está pronta. Instalações auto-hospedadas têm backups embutidos, desativados por padrão, que gravam um dump criptografado do banco e os arquivos armazenados em um disco ou em um bucket conforme um agendamento; a chave de criptografia nunca faz parte de um backup. No Kommio Cloud, o cadastro tem limite de taxa por endereço e por domínio de e-mail, e endereços de e-mail descartáveis são recusados. Os backups auto-hospedados são restaurados toda semana em um banco de dados de teste e conferidos, com um alerta quando isso não dá certo, e também podem ser criptografados para uma chave de custódia guardada offline.

Reportando uma vulnerabilidade

Escreva para [email protected]. Confirmamos em até dois dias úteis e mantemos você informado até a resolução.