Segurança

Segurança como invariante, não como recurso.

Fronteira de multi-tenancy aplicada no nível de AST. Agentes mTLS com rotação automática. Um audit log imutável. Detalhes abaixo.

Invariantes de arquitetura

Toda consulta ao TSDB recebe um organization_id injetado. composeQuery e rewritePromQL adicionam organization_id como matcher obrigatório. Não há caminho bruto para entrada do usuário — vazamento de dados entre tenants é estruturalmente impossível.
Modelo de embed JWT. Chaves de API emitem JWTs de vida curta com filtros obrigatórios embutidos nas claims. Os handlers leem os filtros das claims, nunca da URL. Spoofing via URL forjada é impossível.
Segredos via SecretBox (AES-256-GCM). Tokens OAuth, chaves de assinatura de canal e chaves de embed são armazenados criptografados com uma master key. Texto em claro nunca chega aos logs.
Identidade do agente = certificado de cliente verificado. Não um header, não o corpo. A validação mTLS acontece na configuração TLS do servidor, não no código da aplicação.
Chaves JWT rotacionam com header kid. Várias chaves de assinatura ficam em memória durante a rotação. O KeyRevocator invalida tokens emitidos antecipadamente quando necessário.
Tokens de dashboards públicos nunca pegam org_id da URL. O org_id é resolvido no servidor a partir da linha do token — uma URL forjada não troca de organização.

Postgres — criptografia no nível de disco (gerenciado) ou de aplicação (SecretBox para segredos)
TSDB — criptografia no nível de disco (LUKS / cloud KMS)
Backups — criptografados com a sua própria chave, não uma compartilhada

Encontrou uma vulnerabilidade? Escreva para [email protected]. Fingerprint PGP sob pedido. Respondemos em até 48 horas.

A divulgação pública vem após o release da correção, creditando você se quiser. Pagamos recompensa por achados sérios.

A oferta gerenciada usa os subprocessadores abaixo. A lista completa com finalidade e escopo de dados está no documento de DPA.