Infraestrutura
5 implementados - ✓
Plataforma alojada em França Aplicações, base de dados e identidades na Scaleway, Paris (PAR2).
- ✓
Cópias de segurança noutro fornecedor PostgreSQL copiado em contínuo na OVHcloud, Gravelines, com restauro para um instante dado.
- ✓
Página de estado fora da infraestrutura status.okstatus.eu funciona noutro fornecedor, noutro local, com as suas próprias sondas: continua legível quando a plataforma não está.
- ✓
Infraestrutura como código Toda a infraestrutura está versionada em Git: um operador competente pode reconstruí-la.
- ✓
Sondas isoladas por região Cada sonda autentica-se com o seu próprio identificador e só recebe as verificações da sua região.
Cifragem
4 implementados - ✓
TLS 1.2+ em todo o lado HSTS em cada anfitrião público.
- ✓
Segredos dos clientes cifrados em repouso Credenciais dos monitores, tokens dos canais de alerta e chaves API em AES-256-GCM, com uma chave guardada à parte dos dados.
- ✓
Cópias de segurança cifradas No servidor, AES-256.
- ✓
Push cifrado ponta a ponta Web Push (RFC 8291): o serviço push do navegador não consegue ler o conteúdo.
Acesso e identidade
4 implementados - ✓
Início de sessão com Keycloak Palavra-passe, início de sessão social ou o seu próprio fornecedor de identidade.
- ✓
SSO SAML / OIDC No plano Enterprise.
- ✓
Autenticação de dois fatores TOTP Disponível para cada conta, imponível por organização, obrigatória para a nossa consola interna.
- ✓
Funções aplicadas no servidor Proprietário, administrador, membro, leitor.
Rastreabilidade
4 implementados - ✓
Registo de auditoria completo Cada criação, alteração e eliminação: quem, o quê, quando, de onde.
- ✓
Exportação CSV do registo No painel, no plano Enterprise.
- ✓
Ações da equipa registadas à parte
- ✓
Medição de audiência autoalojada Matomo em matomo.clearcloud.fr, em França, sem cookies de medição.
Cópias de segurança e continuidade
4 implementados - ✓
RPO 15 minutos · RTO 4 horas No máximo 15 minutos de dados perdidos, serviço restabelecido em menos de 4 horas.
- ✓
Restauro testado a cada trimestre Último teste a 28 de setembro de 2026: base de dados completa restaurada em 2 min 22 s.
- ✓
30 dias de conservação das cópias
- ✓
Pré-aviso de 90 dias se encerrarmos Serviço mantido e exportação aberta durante o pré-aviso, reembolso proporcional (Termos, art. 9.3).
Cadeia de fornecimento de software
4 implementados - ✓
Imagens reconstruídas a partir de bases fixadas
- ✓
Análise de vulnerabilidades na CI Uma vulnerabilidade CRITICAL impede a publicação da imagem.
- ✓
Nova análise diária no cluster
- ✓
Auditoria das dependências em cada build
Dados e privacidade
4 implementados - ✓
Conservação limitada por plano 90 dias, 6, 12 ou 24 meses consoante o plano, depois eliminação automática todos os dias.
- ✓
Exportação JSON a qualquer momento Em todos os planos. API REST e Terraform também no Max e no Enterprise.
- ✓
Devolvidos ou eliminados em 30 dias No fim do contrato.
- ✓
Nenhuma ferramenta externa de suporte, CRM ou rastreio de erros Nenhuma recebe os seus dados.
Divulgação responsável
3 implementados - ✓
security.txt publicado /.well-known/security.txt, RFC 9116.
- ✓
Aviso de receção em 2 dias úteis
- ✓
Compromisso de não intentar ações judiciais Para a investigação de boa-fé, sem destruição de dados, violação da privacidade nem interrupção do serviço.
Ainda não implementado
2 lacunas -
Certificação SOC 2 ou ISO 27001No roteiro, não obtida.
-
Teste de intrusão por terceirosTeste interno feito a 3 de novembro de 2026; está previsto um teste por um pentester independente.