---

Esta tradução é fornecida apenas para conveniência. A versão em inglês deste documento é o acordo legalmente vinculativo.

Última atualização: 16 de julho de 2025

Blue oferece segurança de nível empresarial e escalabilidade perfeita para seus processos críticos. Projetado para alta disponibilidade e confiado por mais de 15.000 equipes em mais de 120 países, Blue potencializa suas operações globais com confiança.

Nossa plataforma é construída em uma arquitetura robusta que prioriza tanto segurança quanto escalabilidade desde seu núcleo. Entendemos que conforme seu negócio cresce, suas necessidades de gerenciamento de projetos evoluem, e Blue é projetado para crescer com você. Seja você uma equipe pequena ou uma grande empresa, nosso sistema pode lidar com sua carga de trabalho de forma eficiente e segura.

Plataforma Segura e Escalável

Blue garante o mais alto nível de segurança e escalabilidade para suas necessidades de gerenciamento de projetos. Nossas medidas de nível empresarial protegem seus dados e permitem que você cresça sem limites.

Implementamos arquitetura de segurança de defesa em profundidade com múltiplas camadas de proteção:

Proteção de API

• Limitação de taxa inteligente: Limites específicos por operação previnem abuso mantendo usabilidade (ex: 5 requisições/60s para operações gerais, 1 requisição/50s para exportações)
• Limitação de profundidade de consulta: Máximo de 10 níveis de profundidade para prevenir ataques de consulta GraphQL circular
• Limites de tamanho de requisição: 256MB para operações GraphQL, com limites maiores para uploads diretos de arquivo
• Cabeçalhos de segurança: Integração com Helmet.js fornece X-Frame-Options, X-Content-Type-Options e outros cabeçalhos de proteção

Proteção de Dados

• Sanitização de entrada: Todo conteúdo HTML gerado pelo usuário é sanitizado usando abordagem de lista branca
• Prevenção de injeção SQL: Consultas parametrizadas através do Prisma ORM eliminam riscos de injeção SQL
• Proteção XSS: Tanto sanitização do lado do servidor quanto escape de template Vue.js previnem cross-site scripting
• Validação de upload de arquivo: Verificação de tipo MIME, validação de extensão e sanitização de nome de arquivo para todos os uploads

Criptografia de Nível Empresarial

Blue implementa criptografia AES-256-GCM de grau militar com criptografia autenticada para proteger seus dados sensíveis.

Usamos criptografia AES-256 em modo Galois/Counter (GCM) com derivação de chave PBKDF2 usando 100.000 iterações. Esta criptografia autenticada não apenas protege seus dados, mas também garante que não foram alterados. Cada operação de criptografia usa um salt único e vetor de inicialização (IV), tornando cada pedaço de dados criptografados criptograficamente único. Todos os dados transmitidos entre seus dispositivos e nossos servidores são criptografados usando TLS 1.2 ou superior, com conexões WebSocket automaticamente atualizando para WSS (WebSocket Secure) para recursos em tempo real.

Sistemas de Proteção Avançados

Blue emprega múltiplas camadas de proteção automatizada para garantir segurança e confiabilidade da plataforma.

Proteção em Tempo Real

• Limitação de taxa por operação: Diferentes operações de API têm limites de taxa adaptados (5 req/60s para ops gerais, 1 req/50s para exportações, 3 req/60s para operações sensíveis à segurança)
• Detecção automatizada de ameaças: Tentativas de autenticação falhadas e padrões suspeitos acionam medidas de proteção automática
• Análise de complexidade de consulta: Consultas GraphQL profundas são limitadas a 10 níveis com logging para consultas próximas aos limites
• Proteção CORS e CSRF: Requisições cross-origin validadas com credenciais adequadas e atributos de cookie SameSite

Segurança de Infraestrutura

• Limitação de taxa apoiada por Redis: Limitação de taxa distribuída entre todos os servidores garante proteção consistente
• Manuseio seguro de arquivos: Uploads de arquivo validados para tipos MIME, extensões e limites de tamanho (256MB GraphQL, 4.8GB direto)
• Segurança baseada em ambiente: Diferentes configurações de segurança para ambientes de desenvolvimento, teste e produção
• Suporte a rotação de chaves: Segredos separados para tokens de acesso e atualização permitem rotação de chaves independente

Autenticação e Autorização Multi-Camadas

Blue implementa um sistema de autenticação sofisticado com múltiplas camadas de proteção.

Métodos de Autenticação

• Sistema JWT de token duplo: Tokens de acesso de curta duração (15 minutos) emparelhados com tokens de atualização mais longos (60 dias) minimizam janelas de exposição
• Tokens de Acesso Pessoal (PAT): Para integrações de API, hash com bcrypt antes do armazenamento e validados a cada requisição
• Autenticação Firebase: Integração perfeita para aplicativos web e móveis com gerenciamento automático de token
• Códigos de segurança baseados em email: Códigos com tempo limitado para operações sensíveis com limpeza automática após uso

Autorização Granular

Nossa API GraphQL usa middleware Shield para fazer cumprir permissões no nível do campo. Implementamos controle de acesso baseado em função (RBAC) com seis níveis de permissão distintos: Proprietário, Administrador, Membro, Cliente, Apenas Visualização e Apenas Comentário. Essas permissões são conscientes do contexto, verificando acesso tanto no nível da empresa quanto do projeto para cada operação.

Além de funções padrão, Blue suporta funções de usuário personalizadas que permitem controles de acesso ainda mais granulares. Organizações podem criar funções sob medida com permissões específicas como canCreateRecords, canEditRecords, canDeleteRecords e canViewAnalytics, permitindo controle preciso sobre o que cada membro da equipe pode fazer. Funções personalizadas podem ser aplicadas tanto no nível da empresa quanto do projeto, permitindo diferentes conjuntos de permissões entre diferentes projetos. Regras especiais lidam com projetos arquivados e empresas inativas para garantir que os dados permaneçam protegidos mesmo em casos extremos.

Monitoramento Contínuo de Segurança

Blue implementa monitoramento abrangente para manter a integridade da segurança.

Nossos sistemas incluem monitoramento em tempo real para eventos de segurança, tentativas de autenticação falhadas e padrões de acesso incomuns. Limitação de taxa automaticamente previne ataques de força bruta, enquanto limitação de profundidade de consulta protege contra esgotamento de recursos. Todos os eventos relevantes à segurança são registrados com trilhas de auditoria detalhadas, permitindo investigação rápida de qualquer atividade suspeita.

Backups Diários de Dados

Seus dados são copiados diariamente para garantir integridade dos dados e permitir recuperação rápida de desastres, se necessário.

Realizamos backups automatizados diários de todos os dados do cliente, armazenando esses backups em locais seguros e geograficamente diversos. Além disso, nossa plataforma implementa segurança abrangente de sessão:

Gerenciamento de Sessão

• Cookies seguros: Todos os cookies de sessão usam flags httpOnly (prevenindo acesso JavaScript), secure (apenas HTTPS) e sameSite='strict' (proteção CSRF)
• Rotação de token: Tokens de atualização são automaticamente rotacionados no sign-in para prevenir ataques de replay de token
• Isolamento de domínio: Segurança multi-tenant através de configurações de cookie específicas do domínio
• Expiração automática: Sessões expiram após períodos definidos com limpeza segura de artefatos de autenticação

Implementação Técnica de Segurança

A segurança do Blue está integrada em cada camada de nossa arquitetura de aplicação.

Segurança Frontend

• Sem armazenamento local de tokens: Tokens de autenticação são gerenciados pelo SDK Firebase, nunca armazenados em localStorage
• Atualização automática de token: Tokens são atualizados sem problemas antes da expiração
• Guardas de rota: Cada página valida permissões do usuário antes da renderização
• Validação de formulário: Validação abrangente do lado do cliente com VeeValidate antes da submissão ao servidor

Arquitetura de Segurança Backend

• GraphQL Shield: Cada operação de API é protegida por regras de permissão específicas
• Prisma ORM: Consultas de banco de dados type-safe previnem ataques de injeção
• Sistemas apoiados por Redis: Limitação de taxa e gerenciamento de sessão usam Redis para performance e confiabilidade
• Logging de auditoria: Operações sensíveis à segurança são registradas para conformidade e depuração

Segurança de Senha e Token

• Hash BCrypt: Todas as senhas e tokens de acesso pessoal usam bcrypt com fatores de trabalho apropriados
• Sem armazenamento em texto simples: Dados sensíveis nunca são armazenados em formato legível
• Comparação segura: Funções de comparação timing-safe previnem ataques de timing
• Códigos de uso único: Códigos de segurança são invalidados imediatamente após uso