Seus dados e os dados dos seus clientes são protegidos com as melhores práticas de segurança da indústria. Não é opcional: é parte fundamental do produto.
Toda a comunicação passa por HTTPS, com TLS 1.2 e 1.3. As versões antigas do protocolo, que têm falhas conhecidas, são recusadas.
Nenhuma requisição é confiável por padrão. Cada chamada da API é autenticada e autorizada individualmente, e uma conta nunca enxerga os dados de outra.
Tokens de acesso com prazo de validade (48 horas no painel), e as outras sessões são encerradas quando a senha é trocada. Verificação em dois fatores (2FA) disponível em toda conta.
Os dados sensíveis são cifrados antes de chegar ao banco, e o banco tem backup diário criptografado, com uma cópia guardada fora do servidor.
Implementamos proteções contra as vulnerabilidades mais criticas da web.
As consultas ao banco usam parâmetros (prepared statements): o que alguém digita nunca vira comando no banco.
A interface escapa automaticamente tudo o que exibe, e a Content Security Policy (CSP) limita o que o navegador pode carregar.
A API exige um token de acesso enviado no cabeçalho de cada requisição, e não em cookie: um site de terceiros não consegue agir em seu nome.
HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options e Referrer-Policy em todas as páginas.
Desenvolvimento guiado pelas diretrizes OWASP, com validação de entrada em todos os endpoints.
Filas de tarefas e erros monitorados em tempo real, com alertas automáticos. Disponibilidade conferida a cada 5 minutos por um monitor externo.
Operamos em conformidade com os principais frameworks de segurança e privacidade.
Lei 13.709/2018: tratamento de dados pessoais conforme a legislação brasileira, com encarregado (DPO) designado e políticas de privacidade documentadas.
Ver política LGPD →O cartão é digitado nas páginas da Stripe (PCI DSS nível 1) e do Asaas: os dados do cartão nunca passam pelos nossos servidores nem ficam guardados com a gente.
Segurança Stripe →Backup diário do banco, criptografado, com retenção de 30 dias e uma cópia guardada fora do servidor.
Todo dia à meia-noite (horário de Brasília)Encontrou uma vulnerabilidade no CobrançaAuto? Agradecemos o responsible disclosure.
Não tome ações que possam prejudicar outros usuários. Nos comprometemos a responder em até 48 horas e a creditar o pesquisador após a correção.
seguranca@Não oferecemos bug bounty no momento, mas reconhecemos e agradecemos cada relatório responsável.
Testar a Maya