Segurança

A Polymorfa separa as sessões humanas do Console, as credenciais de servidor, as credenciais de projeto e os tokens de cliente dos usuários finais. Cada superfície autoriza de novo com base no estado atual da equipe e do projeto.

​

Regiões de hospedagem e de mensagens

As suas contas, configurações e segredos do Console ficam hospedados na UE, na Alemanha, com backups na Finlândia. As sessões do WhatsApp e o processamento de mensagens são executados na região de mensagens da Polymorfa no Brasil ou na UE, de acordo com a região atribuída ao número. As mensagens também passam pela borda da rede e pelos próprios servidores do WhatsApp; o limite regional descreve o armazenamento e o processamento de sessões da Polymorfa. O Aditivo de Processamento de Dados da Polymorfa define as obrigações de tratamento previstas no GDPR e os locais de armazenamento acordados. A ANPD reconhece a UE como adequada para transferências internacionais sob a LGPD, nos termos da Resolução 32/2026. Essa decisão cobre o mecanismo de transferência; as suas demais obrigações da LGPD continuam valendo.

​

Autenticação da conta

O Console aceita código de uso único por e-mail sem senha, passkeys, TOTP com recuperação, provedores sociais configurados, gerenciamento de sessões e dispositivos e o fluxo de autorização de dispositivo do app desktop. A página de entrada mostra apenas os métodos de autenticação ativados para a Polymorfa. Em Configurações da conta, adicione e verifique outros endereços de e-mail, escolha um endereço principal de acesso ou remova um endereço que não seja o principal. Em Autenticação, use o cartão Formas de entrar para gerenciar o acesso por e-mail, as passkeys e cada conexão social disponível. Os provedores conectados aparecem na lista principal, com controles para gerenciá-los ou desvinculá-los; os outros provedores configurados aparecem em Mais formas de entrar. Use o cartão Autenticação em dois fatores para gerenciar passkeys e um app autenticador com códigos de recuperação. Para ativar um autenticador, escaneie o QR code e digite o código atual de seis dígitos do seu app. Guarde os códigos de recuperação mostrados depois da verificação; cada código funciona uma vez se você perder o acesso ao autenticador. Cada item de sessão ativa mostra o endereço IP, a localização estimada e o horário da última atividade, quando essas informações estão disponíveis. Você pode revogar uma sessão ou encerrar todas as outras sessões e manter conectado o dispositivo que está usando. Se um endereço de e-mail já estiver vinculado a uma conta, o Console o identifica como indisponível antes de enviar um código de verificação. A mesma página também lista as sessões do navegador, do Inspector e da linha de comando. Entrar com uma conta social e criar uma conta com uma conta social são ações separadas. Entrar com um provedor não cria uma conta implicitamente; use a página de cadastro quando quiser criar uma. A autorização do Inspector confirma a conta conectada e a equipe antes de o código ser digitado. A revisão final mostra o app que fez a solicitação, o horário da solicitação, as informações disponíveis de cidade e IP, a equipe selecionada e os projetos ativos. Aprove somente quando esses detalhes corresponderem à solicitação do Inspector. Os tokens de acesso do Dashboard são diferentes das credenciais destinadas às integrações dos clientes. Nunca copie um token do Dashboard para uma integração.

​

Entrega de notificações

Abra uma equipe e selecione Configurações da equipe > Minhas notificações para gerenciar as suas escolhas pessoais de entrega para essa equipe. Escolha um endereço verificado como a caixa de entrada padrão de notificações da equipe ou desative a entrega por e-mail. Adicione uma rota de projeto quando um projeto precisar usar outro endereço verificado; a rota do projeto tem prioridade sobre o padrão da equipe. Cada equipe mantém os seus próprios tipos de notificação, a sua caixa de entrada padrão e as suas rotas de projeto. As notificações no app estão sempre ativadas e não têm uma configuração para desativá-las. As alterações de e-mail são salvas automaticamente. Remover um endereço, uma equipe ou um projeto também remove as rotas que não podem mais ser usadas. Os alertas de Novo acesso à conta são uma configuração da conta: desativá-los na página Minhas notificações de uma equipe os desativa para a sua conta inteira. Os alertas de segurança não têm link de cancelamento de inscrição. Consulte Configurações pessoais de notificação para ver todos os tipos de notificação e os links de cancelamento de inscrição nos e-mails opcionais. As solicitações de código de acesso enviam um e-mail genérico com o código, a finalidade e a validade. Elas não contêm endereço IP, localização, detalhes da conta nem botões de gerenciamento da conta. Qualquer pessoa pode solicitar um código; receber um não significa que alguém entrou na conta. Os alertas de novo acesso, as solicitações autenticadas para adicionar um endereço de e-mail, os convites para equipes, as confirmações de exclusão de equipe e os alertas de segurança de chaves de API mostram o aplicativo ou a origem do evento, o cliente informado, o endereço IP, a localização aproximada e o horário. Um campo mostra Unavailable quando a Polymorfa não consegue determiná-lo. A localização descreve a conexão de rede; uma VPN ou um proxy pode alterá-la. Use Account settings ou Manage sessions dentro do cartão de detalhes para revisar as configurações de autenticação e revogar sessões desconhecidas. Um alerta de chave exposta identifica o relatório externo; ele não identifica a pessoa que expôs a chave.

​

Credenciais de integração

Cada tipo de credencial tem um prefixo e permissões próprios. O acesso por token de cliente é restringido por regras como allowedActions, política de destinatários, origens, limites de taxa por minuto, máximos diários e estado ativado. Consulte Autenticação para ver o limite completo e a lista de escopos. O endpoint MCP aceita as mesmas credenciais. Os tokens de projeto exigem o escopo mcp; os tokens de cliente exigem a ação permitida mcp. Depois disso, cada ferramenta passa pelas verificações normais de autorização da Messaging API.

​

Integridade dos webhooks

As entregas de webhook nativas incluem cabeçalhos de assinatura HMAC com horário; as entregas compatíveis com a Meta usam cabeçalhos de assinatura compatíveis com a Meta. Verifique a assinatura com o corpo bruto da requisição antes de interpretá-lo, rejeite horários antigos e compare as assinaturas em tempo constante. Consulte Webhooks para ver os cabeçalhos e os algoritmos exatos.

​

Controles operacionais

• Mantenha as chaves da equipe e os tokens de projeto em servidores confiáveis.
• Conceda o menor conjunto de escopos de que uma carga de trabalho precisa.
• Prefira tokens de projeto quando uma integração pertence a um único projeto.
• Use tokens de cliente nos fluxos de navegador e celular e defina ações, origens, destinatários e limites restritos.
• Revogue ou troque uma credencial imediatamente quando houver suspeita de exposição.
• Use os Logs de auditoria para inspecionar atores, ações, recursos, resultados, origem, IP e campos alterados.

Para divulgações de segurança ou materiais de conformidade atuais, use polymorfa.com/security ou envie um e-mail para security@polymorfa.com.

​

Próximos passos