Security Standard¶
Objetivo¶
Definir os requisitos mínimos de segurança para todos os produtos da CoreFlow Platform.
Este documento é obrigatório para desenvolvimento, implantação e manutenção.
Princípios¶
Toda solução deverá seguir:
- Security by Design
- Privacy by Design
- Zero Trust
- Least Privilege
- Defense in Depth
- Secure Defaults
Autenticação¶
Padrão oficial:
- JWT
- Refresh Token
Opcional:
- OAuth2
- OpenID Connect
- SSO
Autorização¶
Obrigatória.
Modelo:
RBAC (Role Based Access Control)
Toda autorização deverá ocorrer por:
- Perfil
- Papel
- Permissão
- Empresa (Tenant)
Multiempresa¶
Todo acesso deverá respeitar o isolamento entre empresas.
É proibido:
- compartilhar registros entre tenants;
- permitir consultas cruzadas;
- reutilizar cache entre empresas.
Senhas¶
Obrigatório:
- Hash seguro (Argon2 ou algoritmo recomendado pelo Django)
- Nunca armazenar senha em texto
- Nunca registrar senha em logs
Política mínima:
- 12 caracteres
- Letras maiúsculas
- Letras minúsculas
- Números
- Caracteres especiais
MFA¶
Suporte obrigatório para:
- TOTP
- Aplicativos autenticadores
Sessões¶
Obrigatório:
- Expiração automática
- Revogação
- Logout global
- Controle de dispositivos
Tokens¶
Access Token:
- Curta duração
Refresh Token:
- Longa duração
- Revogável
Nunca armazenar tokens em LocalStorage.
Cookies¶
Quando utilizados:
- HttpOnly
- Secure
- SameSite=Lax ou Strict
HTTPS¶
Obrigatório em todos os ambientes externos.
É proibido:
- HTTP em produção
- Certificados inválidos
- TLS obsoleto
Criptografia¶
Obrigatória para:
- Dados sensíveis
- Credenciais
- Chaves de API
- Tokens
Utilizar algoritmos reconhecidos pelo mercado.
LGPD¶
Toda coleta de dados deverá possuir:
- Finalidade
- Consentimento quando aplicável
- Base legal
- Política de retenção
Direitos do titular:
- Consulta
- Correção
- Exclusão
- Exportação
Auditoria¶
Registrar obrigatoriamente:
- Login
- Logout
- Falhas de autenticação
- Alterações críticas
- Exclusões
- Aprovações
- Alterações de permissões
Logs¶
Nunca registrar:
- Senhas
- Tokens
- Cartões
- Documentos sensíveis
- Dados bancários
Mas registrar:
- Usuário
- IP
- Data/Hora
- Endpoint
- Ação
- Resultado
Upload de Arquivos¶
Obrigatório:
- Validação de extensão
- Validação de MIME Type
- Limite de tamanho
- Antivírus (quando aplicável)
É proibido executar arquivos enviados pelo usuário.
APIs¶
Obrigatório:
- JWT
- Rate Limit
- CORS configurado
- CSRF quando aplicável
- Validação de entrada
- Sanitização
Banco de Dados¶
Obrigatório:
- Constraints
- Índices
- Auditoria
- Backup
- Restore testado
Nunca conceder privilégios excessivos ao usuário da aplicação.
Segredos¶
Nunca armazenar:
- Senhas
- Chaves
- Tokens
- Certificados
No código-fonte.
Utilizar:
- Variáveis de ambiente
- Cofres de segredos quando disponíveis
Dependências¶
Obrigatório:
- Atualizações periódicas
- Verificação de vulnerabilidades
- Revisão de bibliotecas
Segurança da Aplicação¶
Obrigatório proteger contra:
- SQL Injection
- XSS
- CSRF
- SSRF
- Command Injection
- Path Traversal
- Clickjacking
- Mass Assignment
Monitoramento¶
Monitorar:
- Tentativas de login
- Erros 401
- Erros 403
- Ataques de força bruta
- Picos de acesso
- Alterações críticas
Backup¶
Obrigatório:
- Criptografado
- Automatizado
- Versionado
- Testado periodicamente
Resposta a Incidentes¶
Toda ocorrência deverá possuir:
- Registro
- Classificação
- Contenção
- Correção
- Análise da causa raiz
- Plano de prevenção
Checklist de Segurança¶
Antes de cada release verificar:
- Autenticação
- Autorização
- Logs
- Auditoria
- Backup
- Dependências
- Testes
- Vulnerabilidades
- LGPD
Anti-patterns¶
É proibido:
- Credenciais no código
- Senhas em texto
- Tokens em LocalStorage
- SQL concatenado
- Logs de informações sensíveis
- Permissões implícitas
- Compartilhamento entre tenants
- Desabilitar validações de segurança
Objetivo Final¶
Garantir que toda a CoreFlow Platform opere com segurança, conformidade, rastreabilidade e isolamento entre empresas, protegendo usuários, dados e infraestrutura durante todo o ciclo de vida da aplicação.