Confiança se prova, não se promete

Com o pacote de exportação offline e as chaves em mãos, seus herdeiros reconstroem o cofre sem nós, sem servidor — e isso é provado por teste automatizado (reconstrução offline a partir do export).

Se um dia encerrarmos, nosso compromisso público é liberar o núcleo de criptografia em código aberto — formatos documentados, nada de arquivo secreto que prende você.

O que ainda depende de nós (o disparo da herança) e o que depende de você (exportar a tempo) está detalhado, sem maquiagem, em /continuidade.

Backup diário e automatizado do banco de produção: dump comprimido e cifrado com AES-256-GCM antes de sair, enviado a um bucket dedicado (Cloudflare R2) com retenção de 30 dias. O conteúdo do cofre já é ciphertext na fronteira de conhecimento-zero — a cifra do backup é defesa em profundidade.

Exercício (drill) semanal automatizado: backup → restauração → teste de fumaça num banco sintético, mais a validação de decifragem do último snapshot real de produção — toda semana provamos que a chave decifra e o arquivo não corrompeu, sem tocar em produção.

Restore completo do backup real de produção, validado em ambiente isolado: um exercício de recuperação de desastre (DR) restaurou o último backup real num ambiente descartável, isolado de produção, com verificação de integridade — sem tocar nos dados de produção. É um teste operacional, não uma auditoria externa.

A assinatura é processada pela Stripe, em conta brasileira, com cobrança anual em BRL. Não guardamos número de cartão — o dado de pagamento vive na Stripe.cobrança real ativa

A Stripe nunca vê o conteúdo do cofre: recebe apenas o necessário para cobrar (execução de contrato — LGPD/GDPR).

Cada liberação entra numa trilha de auditoria HMAC encadeada e num log de transparência Merkle (RFC 6962), com raiz (STH) assinada por chave dedicada Ed25519 — separada do segredo de sessão; a chave pública está publicada em /api/transparency.

A raiz assinada do log é ancorada no log público Sigstore Rekor — append-only, fora do nosso controle; a âncora mais recente é verificável por qualquer pessoa em search.sigstore.dev.

O logging da aplicação redige segredos e PII na origem — o que não entra no log não vaza pelo log.

Verifique por conta própria: o passo a passo — da chave pública à âncora pública — está em Como auditar a transparência.

O endpoint público /health responde com o estado real do serviço — saúde do banco e presença do líder do agendador do gatilho. Degradação vira 503, não silêncio.

Um monitor HTTP externo (UptimeRobot) vigia o /health de fora da nossa infraestrutura, com alerta imediato.

Um vigia independente roda no GitHub Actions a cada 2 horas — fora do app e do provedor de hospedagem, de propósito — e alerta o canal de incidente se o agendador ficar sem líder de forma sustentada. Falhas do backup diário ou do drill semanal também alertam o canal de incidente.

Ainda não publicamos SLA formal nem percentual de uptime — o monitoramento existe para agir rápido, não para exibir um número.