CERTHIX / Segurança da aplicação

Proteja os registos. Controle quem pode agir.

Separe os registos de cada organização na aplicação e na base de dados.
Controle o acesso por pertença, permissão e escola ou instalação.
Mantenha o histórico dos registos submetidos e das decisões importantes.

Conversar sobre os seus requisitos ↗Ver exemplos práticos ↓

Segurança da aplicação

Proteção do acesso e dos registos

Identidade e autenticação

A integração de produção utiliza Microsoft Entra ID e valida o token antes de aceitar um pedido autenticado.
O navegador recebe um cookie de sessão cifrado e HttpOnly; os tokens permanecem no servidor.
As políticas Entra da organização regem a autenticação multifator. Iniciar sessão não concede acesso ilimitado aos registos.

Permissões associadas ao trabalho

As pertenças e permissões guardadas determinam os registos acessíveis e as ações permitidas.
O servidor verifica o âmbito da escola ou instalação. Alterar a seleção no navegador não concede novos direitos.
Consultar, editar, rever e verificar são permissões distintas quando o processo o exige. A API verifica cada pedido.

Separação entre organizações

A segurança ao nível das linhas do PostgreSQL complementa os controlos da aplicação.
A conta aplicacional não é proprietária das tabelas nem pode contornar o isolamento; as migrações usam outro papel.
Uma operação sem contexto da organização é recusada. As relações entre registos também incluem esse identificador.

Proteção dos ficheiros

Uma autorização de curta duração permite criar um único objeto por HTTPS, sem acesso a todo o contentor.
Carregar um ficheiro e considerá-lo seguro são estados diferentes. O processo utiliza resultados de análise de uma fonte de confiança.
A integração Azure exige configurar Defender for Storage e a entrega fiável dos seus eventos no ambiente.

Integridade e histórico

As respostas de uma inspeção submetida estão protegidas de edições normais; as correções seguem um ciclo de revisão.
As ações relevantes ficam numa pista de auditoria duradoura. Os acessos recusados pertencem aos registos de segurança.
O controlo de revisões impede que uma atualização antiga substitua uma recente. As narrativas de incidentes ficam fora dos metadados de auditoria.

Aplicação e infraestrutura

O isolamento, as permissões e as regras dos registos estão implementados. Rede, cópias, monitorização e análise de ficheiros também precisam de configuração e testes.
Os controlos do fornecedor cloud não garantem, por si só, a segurança da aplicação instalada.
Esta página descreve controlos técnicos; não atesta certificação ISO, testes de intrusão independentes ou garantias de disponibilidade em produção.

Exemplos de processos

No trabalho do dia a dia

Um responsável muda de escola

O servidor verifica a pertença e o âmbito permitido.
As consultas usam o contexto da organização.
Só ficam acessíveis os registos autorizados.

Duas pessoas editam o mesmo registo

A primeira guarda a revisão atual.
A revisão desatualizada da segunda é recusada.
A segunda pessoa pode recarregar o registo antes de o atualizar.