Segurança do canal
Este é o resumo dos controles do envio de arquivos. A visão completa da segurança da Zabit está na Central de confiança.
| Controle | Como funciona |
|---|---|
| Sem credencial compartilhada | No canal por bucket, a Zabit não entrega access key, usuário, senha nem ExternalId, e não assume role na sua conta. Quem grava é uma role da sua conta, com credenciais temporárias. |
| Autorização por identidade e por pasta | A política do bucket autoriza só a identidade que você indicou, e só na sua pasta. Gravar fora de entrada/, ler a pasta de outro cliente ou apagar arquivos é recusado. A leitura do retorno é opcional e limitada a concluido/, erro/ e recibo/. |
| TLS obrigatório | O bucket recusa qualquer requisição sem TLS. |
| Criptografia com chave dedicada | Todo arquivo é gravado com SSE-KMS, com uma chave do KMS exclusiva do canal. O envio sem essa chave é recusado. A chave só pode ser usada por meio do S3. |
| Antivírus em todo arquivo | Todo arquivo é examinado antes de ser aberto. Arquivo com ameaça vai para uma quarentena que você não lê e que é apagada em 30 dias; arquivo que não pode ser examinado é recusado. Veja Antivírus. |
| Inspeção do ZIP | Limites de tamanho descompactado, de taxa de compressão e de quantidade de arquivos protegem contra zip bomb; ZIP dentro de ZIP, links e arquivos que não são CSV ou TXT são recusados. |
| Integridade | Com --checksum-algorithm SHA256, o S3 confere o conteúdo no recebimento e a Zabit confere de novo antes de processar. |
| Recibos e avisos sem dado pessoal | Recibos, webhooks e a API de status trazem só identificadores, estados, códigos e contagens. Documentos e sequências longas de dígitos são mascarados. |
| Retenção definida | Cada pasta tem prazo de guarda e o descarte é automático. Veja Retenção. |
| Trilha de auditoria | As gravações e leituras de arquivos no bucket do canal são registradas em trilha de auditoria. |
| Arquivos no Brasil | O bucket e os arquivos recebidos ficam na região de São Paulo da AWS. |
Por esses controles, não é necessário cifrar o CSV antes de enviá-lo. Veja Preciso cifrar o CSV?
Na Central de confiança
- Segurança: infraestrutura, criptografia, controle de acesso e monitoramento.
- Dados e privacidade: onde os dados ficam, retenção e direitos dos titulares.
- Suboperadores: os fornecedores que tratam dados em nome da Zabit.