Seus Dados, Protegidos em Cada Camada
AskLee foi construído com segurança em seu núcleo — de segredos criptografados a contêineres de bots isolados, verificado por mais de 114 testes automatizados em 16 categorias.
Verificado por Testes Automatizados
114+
Testes de segurança
16
Categorias de testes
8.000+
Templates de vulnerabilidades
24/7
Verificação CI/CD
Arquitetura de Segurança
Cada camada do AskLee foi projetada para proteger seus dados.
Criptografia em Repouso
Chaves de API e tokens de bot são criptografados antes do armazenamento — não conseguimos lê-los mesmo se o banco de dados for comprometido.
Detalhes técnicos
Criptografia AES-256-GCM com derivação de chave PBKDF2. Vetor de inicialização único por operação. Campos criptografados nunca são registrados ou expostos nas respostas da API.
Contêineres de Bots Isolados
Cada bot roda em seu próprio contêiner isolado. Um bot não consegue acessar dados ou recursos de outro.
Detalhes técnicos
Máquinas virtuais dedicadas com volumes por bot e tokens de gateway únicos. Sem estado compartilhado entre instâncias de bots. Isolamento completo de processos.
Validação de Entrada
Cada requisição é validada e sanitizada para prevenir ataques de injeção.
Detalhes técnicos
Proteção contra XSS, injeção SQL, travessia de diretório e injeção de bytes nulos. Limites rigorosos de conjunto de caracteres e comprimento em todas as entradas.
Autenticação Segura contra Temporização
Verificações de autenticação resistem a ataques de temporização — sem vazamento de informações pelos tempos de resposta.
Detalhes técnicos
Comparação de strings em tempo constante via timingSafeEqual() para toda verificação de segredos e tokens. Impede que atacantes infiram correspondências parciais.
Limitação de Taxa e Proteção DoS
Requisições são limitadas por taxa para prevenir abuso. Payloads grandes demais são rejeitados antes do processamento.
Detalhes técnicos
5 requisições por minuto para mutações, 20 por minuto para leituras. Tamanho máximo do corpo de 1MB. Limitação de taxa via Redis pelo Upstash.
Cabeçalhos de Segurança
Políticas rigorosas de segurança do navegador previnem clickjacking, XSS e detecção de conteúdo.
Detalhes técnicos
Content-Security-Policy (sem unsafe-eval), X-Frame-Options: DENY, X-Content-Type-Options: nosniff, HSTS com max-age de 2 anos, política CORS rigorosa.
Varredura de Segurança Automatizada
114 testes automatizados são executados em 16 categorias antes de cada deploy, mais varreduras profundas mensais com mais de 8.000 templates de vulnerabilidades.
Detalhes técnicos
Sonda de segurança personalizada cobrindo proteção de gateway, divulgação de diretórios, contrabando HTTP, prevenção de SSRF, envenenamento de cache e mais. Complementado pelo scanner de vulnerabilidades Nuclei com cobertura completa de templates.
Segurança no Transporte
Todo o tráfego é criptografado em trânsito. Apenas versões modernas de TLS são aceitas — sem cifras fracas, sem rebaixamentos de protocolo.
Detalhes técnicos
Apenas TLS 1.2 e 1.3. HTTPS obrigatório em todos os endpoints. HSTS com max-age de 2 anos previne ataques de rebaixamento de protocolo. Zero serviços internos expostos (sem SSH, banco de dados ou portas de depuração).
Autenticação Multicamada
Cada mensagem passa por três pontos de verificação de autenticação independentes antes de chegar ao seu bot.
Verificação do Canal
Assinaturas de webhooks do Telegram, Discord, WhatsApp e Slack são verificadas criptograficamente na borda.
Autorização do Relay
Nosso proxy relay se autentica com a API usando tokens bearer assinados com HMAC antes de resolver qualquer bot.
Segredo Por Bot
Cada instância de bot tem um token de gateway criptográfico único (~190 bits de entropia). Comprometer um bot não pode afetar outros.
Privacidade e Tratamento de Dados
Seus dados pertencem a você. Ponto final.
Coleta Mínima de Dados
Armazenamos apenas o necessário para executar seu bot. Sem rastreamento analítico, sem perfil comportamental, sem venda de dados a terceiros.
Sem Treinamento de IA com Seus Dados
Suas conversas e conteúdo do bot nunca são usados para treinar modelos de IA. Acordos de retenção zero com todos os provedores de IA garantem que seus dados são excluídos imediatamente após o processamento.
Exclua a Qualquer Momento
Exclusão completa da conta disponível no seu painel. Quando você exclui, nós excluímos — sem períodos de retenção, sem backups ocultos.
Conformidade e Confiança
Nos exigimos os mais altos padrões da indústria.
Conforme ao RGPD
Privacidade por design, portabilidade de dados, direito à exclusão e acordos de processamento de dados disponíveis para clientes empresariais.
Processamento de IA sem Retenção
Todos os provedores de IA (OpenAI, Anthropic, Groq) operam sob acordos de retenção zero. Suas mensagens nunca são armazenadas por terceiros além da chamada API imediata.
SOC 2 Tipo II em Andamento
Validação de auditoria independente de nossos controles de segurança, confidencialidade de dados e práticas de privacidade. Conclusão prevista em 2026.
Encontrou uma Vulnerabilidade?
Valorizamos a divulgação responsável. Se você descobrir um problema de segurança, por favor reporte de forma privada. Não abra issues públicos no GitHub para vulnerabilidades de segurança.
Envie um e-mail para security@asklee.ai
Por favor inclua uma descrição do problema, passos para reproduzi-lo e impacto potencial.
Nosso objetivo é confirmar o recebimento de relatórios em até 48 horas.
Valorizamos suas contribuições e daremos crédito aos relatores em nossos reconhecimentos de segurança.