Como protegemos a tua conta

Login via email/password ou Google. As sessões são geridas pelo nosso fornecedor de autenticação; tokens ficam no dispositivo do utilizador autenticado e nunca em cookies de terceiros.

Operações sensíveis (alterar plano, mudar segredos de pagamento) são sempre validadas novamente no servidor. Os papéis de utilizador estão guardados numa tabela dedicada e verificados via função SECURITY DEFINER.

Toda a base de dados utiliza Row-Level Security do PostgreSQL. Cada conta só consegue ler e escrever os seus próprios registos — clientes, propostas, pagamentos, anexos. O isolamento é aplicado a nível de base de dados, não apenas no frontend.

Colunas sensíveis de faturação (estado da subscrição, períodos, IDs PayPal) só são escritas pelo webhook de pagamentos (service role); o utilizador não as consegue alterar diretamente.

No modelo Bring Your Own, ligas as tuas próprias contas Stripe ou PayPal — os pagamentos vão diretamente para ti. A CursorUiX nunca retém fundos dos teus clientes.

As chaves secretas que ligas são guardadas encriptadas no servidor, nunca expostas ao navegador, e mascaradas na interface quando as voltas a visualizar.

• Usa uma password única e forte, ou login Google com 2FA.
• Não partilhes links de portal do cliente em canais públicos.
• Revoga chaves de pagamento antigas no painel do Stripe/PayPal se suspeitas de fuga.
• Verifica regularmente o histórico de pagamentos e webhooks.

Se descobrires um problema de segurança, escreve para security@cursoruix.com. Pedimos divulgação responsável: dá-nos um prazo razoável para corrigir antes de tornar público.

Não oferecemos bounty pago, mas reconhecemos publicamente investigadores que reportem de forma responsável, se assim o desejarem.