> ## Documentation Index
> Fetch the complete documentation index at: https://docs.polymorfa.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Segurança

> Os limites de segurança da Polymorfa para autenticação, credenciais, webhooks e operação.

A Polymorfa separa as sessões humanas do Console, as credenciais de servidor, as credenciais de projeto e os tokens de cliente dos usuários finais. Cada superfície autoriza de novo com base no estado atual da equipe e do projeto.

## Regiões de hospedagem e de mensagens

As suas contas, configurações e segredos do Console ficam hospedados na UE, na
Alemanha, com backups na Finlândia. As sessões do WhatsApp e o processamento de
mensagens são executados na região de mensagens da Polymorfa no Brasil ou na UE,
de acordo com a região atribuída ao número. As mensagens também passam pela
borda da rede e pelos próprios servidores do WhatsApp; o limite regional
descreve o armazenamento e o processamento de sessões da Polymorfa.

O [Aditivo de Processamento de Dados](https://www.polymorfa.com/dpa) da Polymorfa
define as obrigações de tratamento previstas no GDPR e os locais de
armazenamento acordados. A
[ANPD reconhece a UE como adequada](https://www.gov.br/anpd/pt-br/assuntos/assuntos-internacionais/transferencia-internacional-de-dados)
para transferências internacionais sob a LGPD, nos termos da Resolução 32/2026.
Essa decisão cobre o mecanismo de transferência; as suas demais obrigações da
LGPD continuam valendo.

## Autenticação da conta

O Console aceita código de uso único por e-mail sem senha, passkeys, TOTP com
recuperação, provedores sociais configurados, gerenciamento de sessões e
dispositivos e o fluxo de autorização de dispositivo do app desktop. A página de
entrada mostra apenas os métodos de autenticação ativados para a Polymorfa.

Em **Configurações da conta**, adicione e verifique outros endereços de e-mail,
escolha um endereço principal de acesso ou remova um endereço que não seja o
principal. Em **Autenticação**, use o cartão **Formas de entrar** para gerenciar
o acesso por e-mail, as passkeys e cada conexão social disponível. Os provedores
conectados aparecem na lista principal, com controles para gerenciá-los ou
desvinculá-los; os outros provedores configurados aparecem em
**Mais formas de entrar**. Use o cartão **Autenticação em dois fatores** para
gerenciar passkeys e um app autenticador com códigos de recuperação. Para ativar
um autenticador, escaneie o QR code e digite o código atual de seis dígitos do
seu app. Guarde os códigos de recuperação mostrados depois da verificação; cada
código funciona uma vez se você perder o acesso ao autenticador. Cada item de
sessão ativa mostra o endereço IP,
a localização estimada e o horário da última atividade, quando essas informações
estão disponíveis. Você pode revogar uma sessão ou encerrar todas as outras
sessões e manter conectado o dispositivo que está usando. Se um endereço de
e-mail já estiver vinculado a uma conta, o Console o identifica como
indisponível antes de enviar um código de verificação. A mesma página também
lista as sessões do navegador, do Inspector e da linha de comando.

Entrar com uma conta social e criar uma conta com uma conta social são ações
separadas. Entrar com um provedor não cria uma conta implicitamente; use a
página de cadastro quando quiser criar uma.

A autorização do Inspector confirma a conta conectada e a equipe antes de o
código ser digitado. A revisão final mostra o app que fez a solicitação, o
horário da solicitação, as informações disponíveis de cidade e IP, a equipe
selecionada e os projetos ativos. Aprove somente quando esses detalhes
corresponderem à solicitação do Inspector.

Os tokens de acesso do Dashboard são diferentes das credenciais destinadas às
integrações dos clientes. Nunca copie um token do Dashboard para uma integração.

## Entrega de notificações

Abra uma equipe e selecione **Configurações da equipe** > **Minhas notificações**
para gerenciar as suas escolhas pessoais de entrega para essa equipe. Escolha um
endereço verificado como a caixa de entrada padrão de notificações da equipe ou
desative a entrega por e-mail. Adicione uma rota de projeto quando um projeto
precisar usar outro endereço verificado; a rota do projeto tem prioridade sobre o
padrão da equipe. Cada equipe mantém os seus próprios tipos de notificação, a sua
caixa de entrada padrão e as suas rotas de projeto.

As notificações no app estão sempre ativadas e não têm uma configuração para
desativá-las. As alterações de e-mail são salvas automaticamente. Remover um
endereço, uma equipe ou um projeto também remove as rotas que não podem mais ser
usadas.

Os alertas de **Novo acesso à conta** são uma configuração da conta: desativá-los
na página **Minhas notificações** de uma equipe os desativa para a sua conta
inteira. Os alertas de segurança não têm link de cancelamento de inscrição.
Consulte
[Configurações pessoais de notificação](/pt-br/console/teams-and-projects#personal-notification-settings)
para ver todos os tipos de notificação e os links de cancelamento de inscrição
nos e-mails opcionais.

As solicitações de código de acesso enviam um e-mail genérico com o código, a
finalidade e a validade. Elas não contêm endereço IP, localização, detalhes da
conta nem botões de gerenciamento da conta. Qualquer pessoa pode solicitar um
código; receber um não significa que alguém entrou na conta.

Os alertas de novo acesso, as solicitações autenticadas para adicionar um
endereço de e-mail, os convites para equipes, as confirmações de exclusão de
equipe e os alertas de segurança de chaves de API mostram o aplicativo ou a
origem do evento, o cliente informado, o endereço IP, a localização aproximada e
o horário. Um campo mostra **Unavailable** quando a Polymorfa não consegue
determiná-lo. A localização descreve a conexão de rede; uma VPN ou um proxy pode
alterá-la.

Use **Account settings** ou **Manage sessions** dentro do cartão de detalhes
para revisar as configurações de autenticação e revogar sessões desconhecidas.
Um alerta de chave exposta identifica o relatório externo; ele não identifica a
pessoa que expôs a chave.

## Credenciais de integração

| Credencial | Prefixo | Uso previsto |
| - | - | - |
| Chave da equipe | `pmfa_` | Acesso de servidor para servidor aos recursos autorizados da equipe. |
| Token de projeto | `pmfa_pt_` | Acesso de servidor para servidor restrito a um projeto e aos escopos dele. |
| Token de cliente | `pmfa_ct_` | Acesso de curta duração para navegador ou celular, controlado por regras de sessão, ação, destinatário, origem e taxa. |

Cada tipo de credencial tem um prefixo e permissões próprios. O acesso por token
de cliente é restringido por regras como
`allowedActions`, política de destinatários, origens, limites de taxa por minuto,
máximos diários e estado ativado. Consulte [Autenticação](/api/authentication)
para ver o limite completo e a lista de escopos.

O endpoint MCP aceita as mesmas credenciais. Os tokens de projeto exigem o escopo `mcp`; os tokens de cliente exigem a ação permitida `mcp`. Depois disso, cada ferramenta passa pelas verificações normais de autorização da Messaging API.

## Integridade dos webhooks

As entregas de webhook nativas incluem cabeçalhos de assinatura HMAC com horário; as entregas compatíveis com a Meta usam cabeçalhos de assinatura compatíveis com a Meta. Verifique a assinatura com o corpo bruto da requisição antes de interpretá-lo, rejeite horários antigos e compare as assinaturas em tempo constante. Consulte [Webhooks](/api/webhooks) para ver os cabeçalhos e os algoritmos exatos.

## Controles operacionais

* Mantenha as chaves da equipe e os tokens de projeto em servidores confiáveis.
* Conceda o menor conjunto de escopos de que uma carga de trabalho precisa.
* Prefira tokens de projeto quando uma integração pertence a um único projeto.
* Use tokens de cliente nos fluxos de navegador e celular e defina ações, origens, destinatários e limites restritos.
* Revogue ou troque uma credencial imediatamente quando houver suspeita de exposição.
* Use os Logs de auditoria para inspecionar atores, ações, recursos, resultados, origem, IP e campos alterados.

Para divulgações de segurança ou materiais de conformidade atuais, use [polymorfa.com/security](https://www.polymorfa.com/security) ou envie um e-mail para **[security@polymorfa.com](mailto:security@polymorfa.com)**.

## Próximos passos

> **[Autenticação](/api/authentication)**
>
> Formatos de credenciais, escopos e limites das rotas.

> **[Logs de auditoria](/pt-br/console/audit-logs)**
>
> Inspecione e exporte as ações da equipe.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.