> ## Documentation Index
> Fetch the complete documentation index at: https://docs.polymorfa.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Segurança

> Perguntas frequentes sobre autenticação, credenciais e divulgações de segurança na Polymorfa.

> **Quais métodos de autenticação de conta estão disponíveis?**
>
> A Polymorfa oferece OTP por e-mail sem senha, passkeys, TOTP com recuperação, provedores sociais configurados e gerenciamento de dispositivos e sessões. A página de entrada mostra apenas os provedores disponíveis na implantação atual.

> **A entrada social pode criar uma conta nova?**
>
> Não pela página de entrada. A entrada social é para uma conta existente; use a
> página de cadastro quando quiser criar uma conta com um provedor configurado.

> **O que devo conferir antes de autorizar o Inspector?**
>
> Confirme a conta conectada, selecione a equipe pretendida e compare o código
> do dispositivo. Antes de aprovar, revise o app solicitante, o horário da
> solicitação, as informações de cidade e IP disponíveis, a equipe e os
> projetos ativos. Recuse a solicitação se algum detalhe for inesperado.

> **Os tokens de cliente são JWTs?**
>
> Não. Chaves de equipe, tokens de projeto e tokens de cliente usam o formato versionado de token de serviço da Polymorfa. As sessões do painel usam JWTs separadamente.

> **Qual credencial a minha integração deve usar?**
>
> Use uma chave de equipe para trabalho de servidor em toda a equipe, um token de projeto para trabalho de servidor em um único projeto e um token de cliente para acesso de curta duração, específico de uma sessão, em navegador ou dispositivo móvel. Consulte [Autenticação](/api/authentication).

> **Como faço a rotação de uma credencial vazada?**
>
> Crie uma substituta e faça o deploy dela, depois revogue a credencial exposta. Inspecione os [logs de auditoria](/pt-br/console/audit-logs) em busca de ações inesperadas e restrinja os escopos da substituta.

> **Como as entregas de webhook são autenticadas?**
>
> Verifique a assinatura HMAC documentada com o corpo bruto, confira o timestamp dela e use uma comparação em tempo constante. As entregas nativas e as compatíveis com a Meta usam cabeçalhos diferentes; consulte [Webhooks](/api/webhooks).

> **Como relato um problema de segurança?**
>
> Envie um e-mail para **[security@polymorfa.com](mailto:security@polymorfa.com)** com uma reprodução mínima. As informações atuais de divulgação e conformidade ficam em [polymorfa.com/security](https://www.polymorfa.com/security).


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.