Seguranca

Seguranca na ZillaSoft

Como protegemos a sua conta, os seus dados e a infraestrutura que suporta os nossos produtos.

O que fazemos para o proteger

Estas praticas estao em vigor hoje, nao sao planos futuros.

HTTPS em todos os momentos

Todo o trafego e servido exclusivamente via HTTPS. Os pedidos HTTP sao rejeitados. O HSTS e aplicado com um max-age de um ano para prevenir ataques de degradacao de protocolo.

Cabecalhos de seguranca

Cada resposta inclui X-Content-Type-Options, X-Frame-Options (DENY), Referrer-Policy (strict-origin-when-cross-origin) e uma Politica de Seguranca de Conteudo (CSP) rigorosa aplicada ao nivel do CDN. A protecao contra XSS e gerida pela CSP com uma politica script-src 'self', em vez do cabecalho X-XSS-Protection obsoleto.

Autenticacao via Auth0

Toda a autenticacao de utilizadores e gerida pelo Auth0 atraves do fluxo PKCE. A ZillaSoft nao armazena palavras-passe. Os tokens de sessao sao mantidos em memoria e nunca sao persistidos no localStorage.

Encriptacao de dados em repouso

Todos os dados de snippets do Snipzilla sao encriptados localmente com AES-256-GCM. As chaves de encriptacao sao armazenadas no porta-chaves do sistema operativo e nunca sao escritas no disco juntamente com os dados. Os seus ficheiros de snippets sao ilegiveis em repouso, mesmo com acesso direto ao armazenamento subjacente.

Distribuicao global via CDN

O site da ZillaSoft e servido via AWS CloudFront, um CDN distribuido globalmente. Os recursos estaticos sao servidos a partir de localizacoes edge proximas de cada visitante sem expor nenhum servidor de origem a internet publica.

Autenticacao de e-mail

Todos os e-mails enviados a partir de zillasoft.io sao protegidos por assinatura DKIM e aplicacao de politica DMARC. Isto previne a falsificacao e garante a integridade dos e-mails nas mensagens transacionais e de notificacao.

Protecao contra bots e spam

Todos os formularios publicos utilizam o Cloudflare Turnstile para verificar submissoes humanas sem rastreamento invasivo. Uma camada secundaria de honeypot filtra silenciosamente bots automatizados antes que qualquer pedido chegue ao nosso backend.

Limitacao de taxa da API

A API do Snipzilla aplica limites de taxa por endpoint para prevenir abusos e tentativas de forca bruta. Os pedidos que excedem os limites sao rejeitados antes de chegarem a logica da aplicacao.

Snippets permanecem no seu dispositivo

Os dados de snippets dos utilizadores do plano Standard sao armazenados localmente no seu computador e nunca sao transmitidos para os servidores da ZillaSoft. A sincronizacao na nuvem esta incluida nos planos Premium e Enterprise e ativa por defeito. Os dados sincronizados sao encriptados de ponta a ponta antes de abandonarem o seu dispositivo.

Eliminacao completa da conta

Os utilizadores podem eliminar permanentemente a sua conta diretamente a partir do painel de controlo em qualquer momento. A eliminacao abrange todos os sistemas: a subscricao e cancelada, todos os dados armazenados sao removidos da nossa base de dados e o registo de identidade e removido do nosso fornecedor de autenticacao. Nada fica para tras.

Sem rastreamento de terceiros

O site da ZillaSoft nao carrega scripts de analitica, publicidade ou impressao digital. Os tipos de letra sao auto-hospedados, pelo que nenhum pedido e enviado para o Google Fonts ou servicos semelhantes. O unico recurso externo neste site e o Cloudflare Turnstile, utilizado exclusivamente nos formularios para protecao contra bots.

Sem registo de teclas, nunca

O Snipzilla necessita de um hook de teclado global para detetar o seu caracter de acionamento configurado enquanto escreve. Esse mecanismo e o mesmo que os keyloggers utilizam, pelo que vale a pena ser direto: o Snipzilla observa apenas o seu caracter de acionamento. Nenhuma tecla e registada, armazenada, transmitida ou partilhada. O hook existe exclusivamente para detetar acionamentos de expansao e nada mais.

Sincronizacao encriptada de ponta a ponta

Os dados de snippets sincronizados na nuvem sao encriptados de ponta a ponta com AES-256-GCM. A encriptacao e desencriptacao ocorrem inteiramente no seu dispositivo. O servidor armazena apenas texto cifrado que nao consegue ler. Um codigo de recuperacao e gerado na primeira sincronizacao; guarde-o para restaurar o acesso num novo dispositivo. Todos os dados estao tambem protegidos em transito por HTTPS.

Divulgacao responsavel

Encontrou um problema de seguranca? Queremos saber. Por favor, reporte as vulnerabilidades de forma privada antes de as divulgar publicamente.

Um ficheiro security.txt esta disponivel em /.well-known/security.txt com os nossos dados de contacto no formato padrao para investigadores de seguranca.

Como reportar

Envie o seu relatorio atraves do nosso formulario de contacto seguro (selecione "Seguranca" como assunto). Os relatorios sao direcionados para um canal privado e nunca sao visiveis publicamente.
Confirmaremos o seu relatorio em 2 dias uteis e comprometemo-nos a fornecer uma correcao ou mitigacao em 30 dias, consoante a gravidade.
Pedimos-lhe que nos de tempo para resolver o problema antes da divulgacao publica. Os investigadores que seguem praticas de divulgacao responsavel serao reconhecidos.

Prefere e-mail? Pode tambem contactar-nos diretamente em [email protected]. Ambos os canais chegam a mesma caixa de seguranca privada.

O que esta a vir

Auditoria SOC 2 Tipo II

Prevista para apos o lancamento inicial do produto. O periodo de auditoria comecara assim que tivermos uma base de utilizadores estavel que justifique o processo e o custo.

Verificacoes de seguranca por terceiros

Avaliacoes de seguranca independentes serao agendadas como parte do roteiro de preparacao enterprise.

Suporte para macOS

O Snipzilla suporta atualmente Windows e Linux. O suporte para macOS esta no roteiro e sera lancado assim que os requisitos de assinatura de codigo e certificacao da plataforma estiverem em vigor.

Auditoria de acessibilidade por terceiros

Esta planeada uma auditoria independente de acordo com as WCAG 2.1 Nivel AA para verificar formalmente os nossos compromissos de acessibilidade em todos os produtos e propriedades web da ZillaSoft.

Gerenciador de area de transferencia Stashzilla

Um gerenciador de area de transferencia para desktop com foco em privacidade para Windows e Linux, atualmente em desenvolvimento. Inclui uma sobreposicao de pesquisa global, marcacao de clips por IA e integracao profunda com Snipzilla.

Alteracoes a esta pagina

Podemos atualizar as nossas praticas de seguranca ao longo do tempo.

Tipo de alteracao Aviso

Menor (erros tipograficos, esclarecimentos, exigido por lei) Atualizar a data "Ultima atualizacao", efetivo imediatamente

Material (novas praticas, tratamento de dados, terceiros) E-mail pelo menos 14 dias antes da data de entrada em vigor