Segurança

Esta página existe porque sabemos que dar acesso de leitura à sua conta de nuvem é a maior objeção antes de qualquer empresa conectar o OpenOps Cost. Aqui está exatamente o que acessamos, o que não acessamos, e como protegemos o que você nos confia.

O que acessamos

• Dados de custo e faturamento (Cost Explorer / Cost Management / Cloud Billing).
• No plano Growth: inventário de recursos (o que existe na conta) e métricas de uso (CPU, rede, via CloudWatch ou equivalente) — sempre leitura.
• No plano Gerenciado, apenas se o Cliente ativar explicitamente: inspeção de processos e disco dentro das instâncias, via AWS Systems Manager (sem exigir SSH exposto).

O que nunca acessamos

• Nenhuma permissão de escrita ou alteração de recursos por padrão — a política IAM fornecida é estritamente somente leitura.
• Dados de aplicação do Cliente (bancos de dados, arquivos em buckets, código-fonte) não fazem parte do escopo de nenhuma credencial solicitada.
• Número de cartão de crédito — o pagamento é processado inteiramente pelo Asaas.

Como a credencial é guardada

Toda credencial de cloud fornecida pelo Cliente é armazenada criptografada em repouso com AES-256-GCM, em nível de aplicação — não apenas a criptografia padrão do banco de dados. A chave de criptografia é dedicada a esse fim, fica fora do banco e nenhum processo a expõe em log. A credencial nunca é exibida em texto puro na interface depois de salva: a interface só mostra o rótulo que você deu à conexão.

Isolamento entre clientes (multi-tenant)

Cada organização só enxerga o próprio dado. Toda consulta da aplicação é filtrada por organization_id, derivado sempre da sessão autenticada no servidor — nunca de um parâmetro enviado pelo navegador, que seria manipulável. Estamos estendendo Row Level Security nativa do PostgreSQL a todas as tabelas multi-tenant como segunda barreira; hoje ela já está ativa na tabela de registros de custo, que é onde fica o volume de dado do Cliente.

Infraestrutura

• Banco de dados nunca exposto publicamente — roda numa rede privada isolada, dentro do próprio cluster.
• Credenciais internas (do próprio banco, chave de criptografia, chaves de API) ficam em Secrets do cluster com acesso restrito, nunca hardcoded no código nem versionadas em Git.
• O processo que sincroniza custo usa exclusivamente a credencial somente leitura do Cliente — não existe caminho no código que escreva ou altere recurso na conta dele.
• A definição da infraestrutura (manifestos do cluster, schema do banco) é versionada em Git, então toda mudança é rastreável e reproduzível.

Papéis e controle de acesso dentro da sua organização

Dentro da própria organização do Cliente, quem pode conectar ou desconectar uma credencial de cloud é controlado por papel: Admin e Operador podem gerenciar conexões de cloud, mas só o Admin mexe em cobrança e convites — separação pensada pro time de infra/DevOps cuidar das credenciais no dia a dia sem precisar de acesso a plano ou pagamento. Membros e Visualizadores só enxergam os dashboards. Isso evita que qualquer pessoa da equipe, mesmo com convite livre e sem custo por usuário, altere ou remova uma conexão sem querer.

Perguntas sobre segurança

Se sua empresa precisa de mais detalhes técnicos (ex: para aprovação de um comitê de segurança antes de conectar), fale com a gente: comercial@openops.com.br.