Segurança
Segurança no ZOREVA-UI
Seu código, sua conta e o acesso do seu agente merecem cuidado. Esta página lista o que de fato fazemos hoje no site, no servidor MCP e na CLI — nada além disso.
Última atualização 28 de out. de 2026
Login sem senhas para vazar
Códigos de uso único por e-mail, Google ou GitHub. Os tokens de sessão são verificados com chaves de assinatura publicadas.
Agentes fazem login com OAuth
O servidor MCP usa OAuth 2.1 com PKCE. Os tokens de acesso expiram depois de uma hora.
A CLI pergunta antes de agir
Diffs antes de editar, avisos antes de comandos arriscados e um sandbox sem rede no Linux.
Pagamentos ficam com a Stripe
Os dados do cartão são digitados na Stripe e nunca chegam aos nossos servidores.
01Contas e login
- Você entra no site com um código de uso único enviado por e-mail, ou com Google ou GitHub. O ZOREVA-UI nunca pede para você criar uma senha.
- Pedidos de código de login têm limite por endereço de rede e por e-mail.
- O formulário de login dá a mesma resposta exista ou não a conta, então não serve para descobrir quem tem uma.
- Os tokens de sessão são verificados em cada requisição contra as chaves de assinatura publicadas (JWKS) do nosso serviço de autenticação antes de qualquer dado da conta ser lido.
02Conectar seu agente (MCP)
- O servidor MCP hospedado usa OAuth 2.1 padrão com PKCE e registro dinâmico de clientes. Você entra em zoreva-ui.com, revisa o pedido e toca em Permitir; seu cliente recebe o token sozinho.
- Os tokens de acesso duram uma hora e se renovam automaticamente. Nada precisa ser colado em um arquivo de configuração.
- Clientes sem suporte a OAuth podem usar um token manual da sua página de Conta. Ele expira em sete dias.
- Cada chamada de ferramenta devolve um único item do catálogo. Os links de download entregues aos agentes duram pouco e só podem ser abertos uma vez.
03A CLI na sua máquina
- Por padrão, a CLI pergunta antes de rodar um comando de shell ou gravar um arquivo. Só --yes ou --autopilot aprovam isso sozinhos.
- Cada edição aparece como um diff que você aceita ou rejeita, e /undo restaura os arquivos alterados no último turno.
- No Linux, os comandos rodam em um sandbox bubblewrap sem acesso à rede e com gravação limitada ao projeto.
- Os caminhos são resolvidos antes do acesso, então um link simbólico que aponta para fora do projeto é recusado.
- Hooks definidos dentro de um projeto não rodam até você confiar nesse projeto, e os arquivos de instruções do projeto são tratados como contexto não confiável.
- O login pelo navegador usa PKCE e um código de uso único trocado por POST. Seu token nunca vai em uma URL.
- Suas credenciais, configurações e sessões ficam em ~/.zoreva com permissões que só o seu usuário pode ler.
- As atualizações são conferidas com checksums SHA-256 publicados antes de a CLI se substituir.
04Suas próprias chaves de API
- Quando você conecta na CLI a chave do seu próprio provedor de modelos, ela fica salva só no seu computador, em um arquivo que só o seu usuário pode ler.
- As requisições com a sua chave vão direto do seu computador para o provedor escolhido. O ZOREVA-UI não guarda essa chave nem serve de intermediário.
- Você pode remover uma chave salva a qualquer momento pela CLI. As chaves também podem vir de variáveis de ambiente, sem nunca tocar o disco.
05Infraestrutura e dados
- Todo o tráfego para zoreva-ui.com usa HTTPS. O site envia HSTS, uma Content Security Policy e cabeçalhos que bloqueiam enquadramento e detecção de tipo de conteúdo.
- Os dados das contas ficam em Postgres gerenciado, com criptografia em repouso fornecida pela plataforma.
- A segurança em nível de linha está ativada nas tabelas do nosso esquema público como segunda linha de defesa: qualquer papel de banco diferente do da aplicação é negado por padrão.
- Segredos compartilhados entre nossos serviços são comparados em tempo constante.
- Os arquivos do produto são verificados em busca de chaves de pagamento e segredos de webhook para que não acabem no código-fonte.
06Downloads e uso justo
- Seu plano é sempre lido no servidor. Uma requisição não pode se declarar Premium.
- As cotas de download ficam no banco de dados, não na memória, então valem entre servidores.
- Cada endereço tem um limite por hora de transferências de arquivos, o que impede copiar o catálogo em massa.
07Pagamentos
- Checkout e cobrança rodam na Stripe. Os números de cartão são digitados na Stripe e nunca tocam os servidores do ZOREVA-UI.
- Eventos de cobrança da Stripe só são aceitos quando a assinatura confere.
08A IA e seus dados
- Os prompts enviados aos modelos do ZOREVA-UI são usados para responder a você. O que é enviado e o que é guardado está explicado em linguagem simples na nossa página sobre IA e dados.
- Os relatórios de falha da CLI vêm desligados e nunca incluem código, prompts ou conteúdo de arquivos.
09Excluir sua conta
- Você mesmo pode excluir sua conta na página de Conta, confirmando seu e-mail.
- A exclusão cancela na hora qualquer assinatura ativa, revoga os tokens MCP emitidos para você e apaga seus registros pessoais.
- Alguns registros de segurança e cobrança são mantidos de forma desidentificada, como explica a Política de Privacidade.
10O que não afirmamos
- Hoje o ZOREVA-UI não tem certificações de segurança de terceiros. Preferimos dizer isso a sugerir o contrário.
- Ainda não temos um programa de recompensas pago, mas cada relatório é lido e respondido.
Relatar uma vulnerabilidade
Encontrou algo? Escreva para nós com “Security” no assunto, os passos para reproduzir e o impacto esperado. Dê um prazo razoável para corrigirmos antes de divulgar e não acesse dados de outras pessoas nem degrade o serviço durante os testes.
support@zoreva-ui.com