Login protegido
Senhas guardadas com hash (bcrypt) e limite de tentativas de login por usuário e por IP.
Tecnologia e segurança
Segurança que dá para mostrar, camada por camada.
Como o acesso é protegido, onde os dados ficam e como o backup é feito. Aqui está só o que já funciona hoje.
Navegador e app AndroidUsuário
Borda: nginxHTTPS com TLS
Certificado Let's Encrypt · bloqueio de arquivos sensíveisAplicação: Node.jsPM2
Helmet e CSP · limite de login · acesso por papel · trilha de auditoriaBanco: PostgreSQLBackup diário
Senhas guardadas com hash (bcrypt)Segundo servidorCópia cifrada (GPG)
Fora do servidor principal · guardada por 30 diasSegurança
Proteções em funcionamento, não promessas.
HTTPS em todos os endereços
Certificados Let's Encrypt e nginx com TLS, que também bloqueia o acesso a arquivos sensíveis.
Cabeçalhos de segurança
Cabeçalhos de proteção e política de conteúdo (CSP) aplicados com Helmet.
Acesso conferido no servidor
Painel e papel são checados no servidor. Esconder um botão na tela não basta.
Trilha de auditoria
Toda escrita na API fica registrada, com senhas e tokens mascarados.
Backup cifrado fora do servidor
Backup diário do PostgreSQL, com cópias cifradas (GPG) enviadas a um segundo servidor e guardadas por 30 dias.
Como funciona
O caminho de um acesso.
- A conexão chega cifradaO nginx só atende por HTTPS e bloqueia arquivos sensíveis.
- O login é conferidoA senha é comparada pelo hash, e tentativas repetidas são limitadas.
- Cada pedido passa pela regra de acessoO servidor confere painel e papel antes de entregar o dado.
- Toda alteração deixa rastroA escrita entra na trilha de auditoria, sem expor senhas nem tokens.
- O dia termina com backupO banco é copiado, cifrado e enviado a um segundo servidor.
Tecnologia
Ferramentas conhecidas, em servidor próprio.
Node.js e Express
Frontend modular montado no servidor, sem bundler.
PostgreSQL
Banco de dados relacional, com backup diário.
nginx
TLS em todos os endereços e bloqueio de arquivos sensíveis.
PM2
Cada aplicação é um processo, com reinício automático e log próprio.
Socket.IO
Painel de senhas, TV e chat atualizados em tempo real.
Capacitor
O Regula+ empacotado como aplicativo Android.
CADSUS e SIGTAP
Consultados na origem.
Servidor Linux
Roda em VPS Linux, sem serviço cobrado por uso.
Privacidade e LGPD
Menos exposição, mais registro.
- Aceite registrado. O termo LGPD do Regula+ é versionado, e cada aceite guarda CPF, versão, data, hora e IP.
- Cada um vê o seu. O servidor só entrega os painéis liberados para o papel da pessoa.
- Registro sem segredos. A trilha de auditoria mascara senhas e tokens.
- Voz da TV sem nuvem. A chamada usa a voz do próprio aparelho, sem enviar dados para fora.
Outras soluções
Precisa responder a um questionário de segurança?
Numa conversa técnica, mostramos as camadas, a trilha de auditoria e a rotina de backup.