Segurança no Kyvoice
Visão geral dos controles aplicados para proteger contas, dados e comunicações na plataforma.
Quatro pilares de blindagem
Confidencialidade, integridade e disponibilidade — organizados em pilares de infraestrutura, identidade, mídia e governança.
- Cloudflare Zero Trust — Camada invisível de segurança na borda.
- WAF e regras customizadas — Bloqueio de acessos administrativos por IP e geolocalização (Brasil-only para admin).
- Anti-DDoS — Proteção nativa contra ataques de negação de serviço.
- MFA (TOTP) — Segundo fator de autenticação obrigatório para perfis sensíveis (Google Authenticator / Authy).
- Gestão de convites — Controle granular de quem entra em cada servidor.
- Sessões seguras — Cookies HttpOnly, Secure e SameSite Lax.
- DTLS-SRTP — Criptografia de nível militar para todos os fluxos de áudio e vídeo.
- P2P dinâmico — Conexão direta sempre que possível, reduzindo exposição de dados.
- Relay TURN seguro — Servidores de retransmissão com autenticação HMAC temporária (quando configurado).
- Minimização — Não persistimos IP em modelos de negócio.
- Zero logs de mídia — Áudio e vídeo nunca tocam nossos discos.
- Isolamento de tenants — Dados de cada empresa são logicamente separados no banco.
Controles de segurança
Autenticação e sessões
Proteção de login e sessão com transporte seguro (TLS) e práticas de armazenamento seguro de credenciais.
Minimização de dados
Tratamento de dados focado no necessário para operar a plataforma e oferecer suporte ao usuário.
Chamadas de voz e vídeo
WebRTC com criptografia de mídia. O comportamento pode variar conforme suporte do navegador e do ambiente.
Controle por convites
Servidores/canais podem ser restritos por convites, ajudando equipes a manterem controle sobre participantes.
Resiliência de sessão
Fluxos de recuperação automática para tokens expirados: em vez de tela de erro, o usuário é redirecionado para login com mensagem amigável. Autenticação contínua e proteção contra sequestro de sessão.
Medidas já implementadas
Controles ativos hoje — blindagem em produção.
Autenticação em duas etapas (TOTP) nativa via Google Authenticator / Authy.
Proteção contra força bruta via Cloudflare e limites de taxa por IP.
Content-Security-Policy (CSP) ativo, bloqueando scripts maliciosos e injeções de código.
Web Application Firewall ativo com bloqueio geográfico (Brasil-only para admin) e proteção contra bots.
Todo o tráfego em produção via TLS; HSTS com preload habilitado.
CSRF, cookies Secure/HttpOnly, SameSite Lax.
Validação (força, similaridade, senhas comuns) e hashing (PBKDF2).
ALLOWED_HOSTS, CSRF_TRUSTED_ORIGINS e CORS restritos.
Mídia P2P quando possível; criptografia DTLS-SRTP no navegador.
Oferta/resposta WebRTC pelo seu servidor (WebSocket), não por terceiros.
Não armazenamos conteúdo das chamadas; não persistimos IP em modelos.
Em produção via variável de ambiente.
Recuperação automática para tokens expirados (redirect para login com mensagem), sem tela 403; proteção contínua contra sequestro de sessão.
Roadmap de Segurança
Planejamento estratégico para evoluir ainda mais a blindagem.
- Senhas — Argon2 ou bcrypt no lugar do PBKDF2 padrão.
- TURN/STUN próprio — Menor dependência de servidores de terceiros para ICE.
- E2EE para chat — Criptografia ponta a ponta no texto (ex.: protocolo tipo Signal).
- Sem analytics de terceiros — Manter ausência de rastreio por terceiros; fontes/scripts self-hosted quando possível.
- Logs — Evitar ou anonimizar IP em logs; auditoria de ações sensíveis sem PII desnecessário.
- Criptografia em repouso — Banco e arquivos (ex.: S3) com criptografia no provedor.
Documento detalhado em docs/SEGURANCA-E-CRIPTOGRAFIA.md com referências técnicas.
Recomendações para equipes
- Use senhas fortes e habilite políticas internas de acesso (ex.: rotatividade, revogação de convites).
- Trate links de convite como informações sensíveis e compartilhe apenas com pessoas autorizadas.
- Em ambientes corporativos, prefira redes confiáveis e aplique controles de segurança do seu ambiente (proxy/VPN/políticas).
Para detalhes sobre tratamento de dados pessoais, consulte nossa Política de Privacidade.