A plataforma que testa segurança também precisa merecer confiança.

A arquitetura limita blast radius, separa tarefas pesadas e falha fechada em autenticação, rate limit, autorização do alvo e isolamento de tenant.

Identidade protegida

Argon2, refresh rotativo com detecção de reuso, sessões revogáveis, CSRF e TOTP 2FA.

DNS TXT, arquivo ou meta tag comprovam autorização. DNS pinning e revalidação de redirect bloqueiam SSRF.

PostgreSQL, Redis e workers não possuem domínio ou proxy TCP público; o web conversa com a API pela rede privada.

Backups declarados e restore drill lógico verificado. Object storage usa assinatura SigV4 e URLs curtas.

Endpoints do produto não aceitam acesso direto à API em produção. Health e webhook autenticado são as únicas exceções.

CI executa lint, tipos, migrations, testes e auditorias de dependência com exceções documentadas e prazo.

Confiança por padrão