Segurança
Seguro por padrão
Segurança entrou no Zync desde a primeira linha de código e é revisada a cada versão. Aqui está o que fazemos — sem promessas vagas.
Sua conta
Guardadas com o algoritmo recomendado pela OWASP. Não dá para reverter, nem por nós.
O token de sessão fica cifrado pelo sistema (DPAPI), nunca chega à interface do app e é trocado a cada renovação.
Login e cadastro têm limite de frequência contra adivinhação de senha.
O app no seu computador
A interface roda isolada, sem acesso ao Node.js nem aos seus arquivos.
Toda chamada entre a interface e o app é validada e checa a origem.
O app só conversa com usezync.com; nada de scripts de terceiros.
No servidor
Certificado automático e HSTS. Conexões em tempo real também são cifradas (wss).
Cada ação é conferida no servidor com os cargos e permissões do canal, não só no app.
Anexos abrem só por links temporários. O tipo é conferido pelo conteúdo e fotos perdem o GPS.
O servidor nunca acessa endereços internos ao gerar prévias (proteção contra SSRF).
Banco, cache e API não ficam expostos na internet; só a borda HTTPS fica.
Banco e arquivos com cópia diária, guardada por 14 dias.
Encontrou uma vulnerabilidade?
Obrigado por ajudar. Escreva para contato@usezync.com com o assunto Segurança, contando:
- o que você encontrou e onde (app, site ou API);
- os passos para reproduzir;
- o impacto que você imagina.
Nossos compromissos: responder em até 5 dias úteis, manter você informado até a correção e dar crédito, se você quiser. Pedimos que não acesse dados de outras pessoas, não degrade o serviço e espere a correção antes de divulgar.
Também publicado em /.well-known/security.txt (RFC 9116).
O que ainda está por vir
Estamos em beta e somos transparentes sobre o que falta:
- Assinatura de código do instalador (hoje o Windows avisa na primeira execução)
- Verificação em duas etapas (2FA)
- Cópia dos backups fora do servidor principal
- Criptografia ponta a ponta nas mensagens diretas