PixMenderAbrir a ferramenta de imagemSegurança
Como o PixMender protege contas, chaves de API, carregamentos, tarefas, webhooks e armazenamento temporário.
Última atualização
Ficheiros privados e temporários
Originais, intermédios e resultados são objetos privados com identificadores isolados. O acesso usa URL assinados de curta duração em vez de um contentor público. Os recursos expiram em 24 horas; a limpeza começa depois e repete falhas até eliminar.
Validação de carregamentos
Um carregamento não é considerado fiável até verificar tipo declarado, assinatura, dimensões e formato. Limites reduzem o risco de esgotamento de recursos. Importações remotas aceitam destinos HTTPS públicos e revalidam redirecionamentos para reduzir falsificação de pedidos do servidor.
Contas e chaves de API
Palavras-passe e chaves são guardadas como hashes. Sessões usam cookies HTTP-only e Secure em produção com SameSite. As chaves suportam âmbitos e revogação; rotas administrativas exigem autorização separada.
Tarefas e workers
A API valida e regista uma tarefa antes de workers assíncronos executarem operações ordenadas. Erros são normalizados, repetições limitadas e créditos libertados em falha terminal. Workers GPU remotos ligam para o exterior e usam credenciais próprias.
Webhooks e integrações
Eventos são assinados para verificar a origem. Entregas são registadas e repetidas independentemente. Destinos de saída são verificados para bloquear redes privadas e não encaminháveis; as integrações devem validar assinaturas, datas e duplicados.
Acesso operacional e registos
O acesso é limitado por função. Registos de segurança, auditoria e erro apoiam investigações sem palavras-passe ou chaves completas. Infraestrutura, dependências e acesso de fornecedores devem ser atualizados e revistos.
As suas responsabilidades
Use palavra-passe única, proteja o e-mail, guarde chaves num gestor de segredos, conceda âmbitos mínimos e rode credenciais expostas. Não incorpore chaves de servidor em código Web ou móvel. Valide resultados antes da publicação automática e expire segredos quando um endpoint mudar de proprietário.
Comunicar uma vulnerabilidade
Envie para [email protected] descrição, URL ou componente, impacto e passos seguros. Não aceda a dados alheios, perturbe o serviço, faça testes destrutivos ou inclua credenciais ativas e imagens privadas. Confirmaremos relatórios úteis e coordenaremos a correção e divulgação de boa-fé.
Precisa de ajuda? [email protected]