Segurança

1. Compromisso com segurança

A segurança da plataforma é tratada como parte central da operação da Mepagg. Os controles adotados buscam proteger contas, credenciais, dados operacionais, integrações, fluxos financeiros e registros sensíveis contra acesso não autorizado, uso indevido, alteração indevida, indisponibilidade ou exposição acidental.

2. Controles de acesso

• Autenticação e administração centralizada de credenciais de conta.
• Controles de perfil e limitação de acessos conforme necessidade operacional.
• Rastreabilidade de ações relevantes executadas na plataforma.
• Procedimentos de revisão, bloqueio e revogação de acesso quando aplicável.

3. Segurança de integração

• Transporte seguro por HTTPS nas comunicações com a plataforma.
• Uso de chave de API para autenticação de integrações autorizadas.
• Assinatura de webhooks e validação de origem e integridade dos eventos.
• Boas práticas de idempotência, consulta de recurso e prevenção de processamento duplicado.
• Orientação para armazenamento seguro de segredos e credenciais fora do frontend.

4. Monitoramento e continuidade

A arquitetura e a camada operacional priorizam monitoramento, estabilidade, evolução controlada e resposta rápida a incidentes, com foco na continuidade dos fluxos financeiros, na integridade dos eventos transacionais e na preservação de evidências úteis para análise, suporte e auditoria.

5. Gestão de vulnerabilidades e resposta

A Mepagg pode revisar rotinas, dependências, componentes, logs, integrações e mecanismos internos para correção de falhas, reforço de controles, mitigação de riscos e aperfeiçoamento contínuo do ambiente. Medidas preventivas ou corretivas poderão incluir atualizações, restrições temporárias, reforço de verificação, revogação de credenciais ou ajustes de fluxo quando necessário à segurança da operação.

6. Responsabilidades compartilhadas

A segurança da operação também depende da empresa usuária, que deve administrar corretamente seus usuários, perfis, credenciais, endpoints integrados, servidores, cofre de segredos, rotinas de validação de webhook, controles de acesso interno, revisão de logs e demais procedimentos necessários para proteger o seu próprio ambiente e seus fluxos de negócio.

7. Boas práticas recomendadas

• Não expor chaves de API, segredos ou tokens em frontend, repositórios públicos ou canais inseguros.
• Validar a assinatura dos webhooks e persistir identificadores de evento para evitar duplicidade.
• Confirmar estados financeiros críticos por consulta de recurso sempre que aplicável.
• Revisar periodicamente usuários, integrações, permissões e endpoints conectados à conta.
• Adotar trilhas internas de auditoria e controle para ações financeiras sensíveis.