# Segurança na Tandera

Você está prestes a colocar as vulnerabilidades não corrigidas dos seus clientes no sistema de outra pessoa. Isso merece detalhes. O que existe está marcado como existe. O que é planejado está marcado como planejado.

## Onde seus dados ficam

- **Uma região: AWS us-east-2** — Leste dos EUA, Ohio. Seus dados não circulam entre regiões, porque só existe uma. Se você precisa de outra região, essa é a conversa de BYOC mais abaixo.
- **O banco não tem endpoint público** — O Postgres roda dentro de uma VPC privada. Ele é alcançável pelas próprias funções da API e por mais nada. Não existe endereço na internet para atacar.
- **Evidências e uploads são cifrados no S3** — Capturas de tela, saída de scanner e arquivos de credencial ficam com SSE-KMS usando a chave gerenciada da própria Tandera.

## Criptografia

- **Em trânsito** — TLS em toda conexão, do seu navegador até a API e da API até o banco.
- **Em repouso** — A criptografia de armazenamento está ativa no banco e em todo bucket que guarda seu conteúdo.
- **Segredos têm chave própria** — Credenciais do cofre, tokens de integração e senhas de relatório usam envelope encryption com uma chave de dados por registro via AWS KMS. A rotação automática de chave está ligada.
- **Apagar apaga de verdade** — Remover uma credencial do cofre zera as colunas cifradas na mesma instrução que grava o tombstone. O ciphertext some, não fica marcado como oculto.

## Quem vê o quê

- **Sua organização vem do token, nunca da requisição** — O id da organização que limita toda consulta é lido do token de sessão verificado. Um cliente não consegue pedir dados de outro tenant trocando um parâmetro.
- **Leitura entre tenants responde “não encontrado”** — Nunca “proibido”. Uma resposta errada que confirma a existência do registro ainda é vazamento, então a API não confirma.
- **Cinco papéis, não um** — Admin, manager, reviewer, hacker e client. Quem testa não precisa da permissão de quem é dono, e um cliente precisa de bem menos que os dois.
- **O cliente só vê o que você publica** — O papel de client alcança o portal e os achados que você escolheu compartilhar lá. Não alcança o engajamento por trás dele.

## O que ainda não temos

- **Sem SOC 2 e sem ISO 27001** — Não somos certificados. Se o procurement exige certificação hoje, fale com a gente e a resposta sobre prazo vai ser direta.
- **BYOC está desenhado, não implantado** — Rodar a Tandera dentro da sua própria conta AWS, com seu S3, seu banco, sua chave KMS, sua região e seu CloudTrail, está planejado para o Enterprise. Hoje é um documento de design. Vamos continuar chamando de planejado até existir.

## Achou alguma coisa?

Escreva para security@tandera.io com os passos para reproduzir e a gente confirma o recebimento. Nossos usuários testam software para viver, então preferimos ouvir de você a não ouvir. Ainda não temos programa de bounty pago.

## More from Tandera

- [Tandera](https://tandera.io/pt-br/): Pentest operations platform — scope to retest
- [About](https://tandera.io/pt-br/about)
- [Attack chains](https://tandera.io/pt-br/attack): Chain findings into attack narratives
- [Blog](https://tandera.io/pt-br/blog)
- [Changelog](https://tandera.io/pt-br/changelog)
- [Compare](https://tandera.io/pt-br/compare)
- [Contact](https://tandera.io/pt-br/contact)
- [Docs](https://tandera.io/pt-br/docs)
- [Findings](https://tandera.io/pt-br/findings): Consistent, reviewed vulnerability findings
- [Integrations](https://tandera.io/pt-br/integrations): Every supported security tool, generated from the parser registry
- [Client portal](https://tandera.io/pt-br/portal): Share results with clients
- [Privacy policy](https://tandera.io/pt-br/privacy)
- [Recon](https://tandera.io/pt-br/recon): Automated attack-surface discovery
- [Reports](https://tandera.io/pt-br/reports): White-label pentest report generation
- [Solutions](https://tandera.io/pt-br/solutions)
- [Terms](https://tandera.io/pt-br/terms)
- [Tools](https://tandera.io/pt-br/tools)

---

Canonical: https://tandera.io/pt-br/security
This page as markdown: https://tandera.io/pt-br/security.md
Index for agents: https://tandera.io/llms.txt

Every page here is also available as markdown: append `.md` to the path (e.g. `/recon.md`, `/index.md` for this homepage, `/blog/<slug>.md`), or request the canonical path with `Accept: text/markdown`.