Política de controle de acesso

Tradução de cortesia. Prevalece a versão em inglês.

Uma regra atravessa esta política: a LFW nunca pede nem guarda as senhas de um cliente. Ela usa acesso delegado, no próprio nome, limitado ao que o trabalho exige e revogável pelo cliente a qualquer momento.

Versão 1.0, 6 de outubro de 2026. Faz parte das práticas publicadas na página Confiança. A política de segurança da informação trata dos sistemas em que essas contas existem.

1. Contas em nome do cliente

A hospedagem, o domínio, o repositório de código e as contas de administração do site de um cliente ficam em nome do cliente desde o primeiro dia. A LFW é usuária das contas do cliente, nunca proprietária.

O cliente vê exatamente o que a LFW pode acessar e pode revogar isso sem pedir nada. No fim do contrato, a LFW devolve credenciais, acesso às contas e acesso ao repositório sem custo.

2. Como a LFW obtém acesso a um sistema do cliente

Para cada sistema necessário ao trabalho, a LFW pede ao cliente que conceda uma conta nominal ao endereço da LFW pela função de delegação do próprio fornecedor: um membro na conta de hospedagem, um usuário empresarial no painel da hospedagem, um membro com papel limitado na conta da Cloudflare, um usuário administrador no WordPress.

A LFW aceita cada convite e ativa a autenticação de múltiplos fatores nessa conta quando a plataforma oferece. Quando um fornecedor não oferece delegação, a LFW pede uma credencial dedicada criada para ela, nunca a credencial pessoal do proprietário.

As poucas credenciais que a LFW precisa guardar ficam em um gerenciador de senhas, em um cofre reservado só àquele cliente. Um cliente envia uma credencial desse tipo por um link seguro de uso único, não por e-mail.

A LFW pede só o que o trabalho exige. O acesso ao registrador do domínio em geral não é necessário: a configuração preferida é um DNS delegado a uma zona na Cloudflare, que deixa o registrador intocado.

3. Acesso aos sistemas da LFW

O Portal do cliente não tem senhas. Um cliente entra com um link enviado por e-mail que funciona uma única vez e expira após 15 minutos, com uma passkey, ou pelo provedor de identidade do cliente com OpenID Connect.

Os pedidos de link de acesso têm limite de frequência por endereço e por e-mail, e a resposta é a mesma, tenha o endereço uma conta ou não, então o formulário não permite montar a lista de clientes. Uma sessão dura 14 dias em um cookie que o navegador mantém restrito ao host, seguro e fora do alcance dos scripts.

A equipe da LFW entra no site da equipe do mesmo jeito, em uma origem separada. Nos sistemas da LFW não existe nenhuma senha para roubar ou reutilizar.

4. Papéis no Portal do cliente

O acesso ao portal é concedido de propósito, pessoa por pessoa, pela LFW. Ser um contato registrado, ou trabalhar em uma organização cliente, não concede acesso. Revogar o acesso invalida todas as sessões daquela pessoa, e um acesso concedido depois não as faz voltar.

Os papéis do cliente são proprietário, membro e leitor. Os proprietários veem todos os sites da organização; um membro vê os sites que lhe foram concedidos e nada mais, nem outro site da própria organização nem outra organização. O histórico de documentos é somente de inclusão: uma restauração acrescenta uma revisão em vez de apagar uma.

Quando a equipe da LFW consulta o portal de um cliente para ajudar com uma solicitação, a consulta é somente leitura, sinalizada na tela, registrada e aberta por um token de uso único que expira em dois minutos.

5. Acesso ao servidor

O servidor só aceita SSH com chave. A aplicação e todas as tarefas agendadas rodam com uma conta de serviço sem privilégios e sem shell de login, e o diretório de dados só pode ser lido por essa conta. O arquivo de segredos é restrito ao administrador do servidor e a essa conta.

As compilações nunca tocam nas chaves do servidor: rodam em um contêiner descartável sem volumes montados, que recebe o código-fonte pela entrada e devolve o site construído pela saída.

6. Revisão e revogação

A LFW mantém um inventário, por cliente, de cada conta que detém e de como revogá-la. O inventário serve de lista de saída: no fim do contrato, cada item é devolvido ou excluído, e o cliente confirma.

Um cliente pode revogar o acesso da LFW a qualquer momento e sem aviso. A LFW não considera isso uma violação do contrato, e nada do que o cliente possui muda.

7. Subcontratados

A LFW não tem funcionários e não coloca nenhum subcontratado no site de um cliente sem o consentimento por escrito do cliente. Qualquer pessoa que a LFW envolva fica sujeita às mesmas condições de confidencialidade e recebe o mesmo tipo de acesso nominal, limitado e revogável.

8. O que esta política não afirma

A LFW não participa da InCommon nem de outras federações de confiança. Ainda não oferece aos clientes um relatório de logins e logouts de cada usuário; o que o portal registra está descrito na política de segurança da informação.