Práticas de segurança

Controles projetados para o isolamento de contas, a propriedade das chaves e a contabilidade precisa.

Autenticação e chaves

Entre com uma chave de conta gerada de dezesseis dígitos ou com e-mail e senha. As chaves de conta são exibidas uma vez, não podem ser recuperadas e são separadas das chaves de API. As sessões do painel usam cookies HttpOnly e verificações de origem. As solicitações da API pública exigem chaves de API criptográficas separadas. As chaves de API em texto original são exibidas uma vez e armazenadas como hashes. As ações administrativas exigem autorização de função e MFA.

Integridade financeira

D1 é o armazenamento oficial de saldos e registros contábeis. Gravações transacionais condicionais e Durable Objects por conta protegem as reservas e liquidações. Referências financeiras únicas evitam a repetição de cobranças e créditos. O uso incerto permanece reservado para análise.

Dados mínimos

Os registros de atividade excluem prompts, respostas, dados de ferramentas e cabeçalhos de autorização. O registro e o rastreamento do corpo das solicitações do Worker estão desativados. Nenhum rastreador de publicidade é incluído.

Relatar um problema

Relate possíveis vulnerabilidades pelo contato de segurança publicado pelo operador. Inclua uma descrição concisa, o endpoint afetado e etapas seguras para reproduzir o problema. Não acesse dados de outros clientes nem divulgue segredos.

Atualizado em 1 de novembro de 2026.