Como funciona a segurança no Macaly
A segurança de qualquer aplicação web depende da plataforma que a sustenta e de quem constrói sobre ela. O Macaly cuida da camada de infraestrutura: hospedagem, criptografia, a biblioteca de autenticação, proteção na borda, bancos de dados isolados e atualizações de segurança contínuas. Você fica responsável pela camada da aplicação: quais dados o projeto armazena, quem pode acessá-los e como seus usuários finais são informados. Essa divisão significa que você não precisa configurar servidores, certificados ou bibliotecas de autenticação do zero. Significa também que as decisões sobre seus dados e seus usuários continuam com você, que é onde devem estar.Quando seu projeto armazena dados pessoais dos seus usuários finais, o Macaly atua como operador de dados e você continua sendo o controlador. Os detalhes completos estão no nosso DPA.
O que já vem embutido
Hospedagem e residência dos dados
Os projetos publicados ficam hospedados na região da UE da Vercel (Frankfurt). Os bancos de dados rodam no Convex EU West (Irlanda). Os dois ficam atrás da rede de borda da Vercel, que entrega o conteúdo a partir de servidores mais próximos dos seus visitantes e filtra o tráfego de ataque antes que ele chegue ao seu projeto. Cada projeto do Macaly tem o próprio banco de dados isolado, então os dados de um projeto nunca se misturam com os de outro. Você também pode escolher a região em que rodam os modelos de IA que o agente usa para construir seus projetos. Se precisa que seus dados fiquem na UE, é possível selecionar apenas modelos hospedados na UE. Para ver a lista de modelos disponíveis e os países em que são hospedados, consulte Modelos de IA.Criptografia
Os dados são criptografados em trânsito e em repouso:- O HTTPS é obrigatório em todos os projetos publicados
- Os dados em repouso são criptografados nos nossos provedores de hospedagem e de banco de dados
- As credenciais sensíveis usadas internamente pelo Macaly são criptografadas antes de serem armazenadas
Autenticação
A autenticação integrada do Macaly usa uma biblioteca padrão do mercado, que cuida de hash de senhas, gerenciamento de sessões e códigos de uso único. Há dois métodos disponíveis:- Login com OTP, com código enviado por e-mail e sem senha
- Login com e-mail e senha, com cadastro, verificação e redefinição de senha
Agente seguro por padrão
O agente do Macaly segue boas práticas embutidas, aplicadas a todos os projetos. Autenticação, padrões de acesso ao banco de dados, tratamento de segredos e configuração de integrações seguem padrões consolidados, em vez de serem montados do zero a cada vez. O agente trabalha em um sandbox seguro, com ferramentas de desenvolvimento reais, e por isso consegue construir, executar e testar seu projeto em um ambiente isolado. Você também pode pedir ao agente, a qualquer momento, que explique como uma parte específica do seu projeto está protegida ou que ajuste algo conforme sua necessidade. Veja Como criar apps seguros para orientações práticas.Transparência sobre a IA
O Macaly avisa quando há IA envolvida. Um aviso acima do prompt explica que você está trabalhando com um agente de IA, e os projetos publicados trazem no head uma tagai-generated legível por máquina, além de um selo Feito com IA no Macaly por padrão.
Isso cobre a plataforma. Os avisos sobre o seu próprio projeto, como um chatbot que você cria para seus usuários finais, ficam por sua conta. Veja Como usar a IA com responsabilidade para entender onde fica essa linha.
Proteção na borda e atualizações
A rede de borda da Vercel e as proteções da plataforma lidam automaticamente com padrões comuns de abuso, incluindo mitigação de DDoS e filtragem básica de bots. As correções de segurança da nossa infraestrutura e das dependências que usamos são aplicadas continuamente em todos os projetos, então você não precisa acompanhar nem instalar patches por conta própria.Verificação de vulnerabilidades e revisões de segurança
O Macaly verifica os projetos Next.js e TanStack Start em busca de vulnerabilidades conhecidas do framework. Se um problema crítico for encontrado, a publicação fica bloqueada até que você clique em Corrigir agora, que envia a correção direto para o agente. Você também pode executar uma verificação de segurança completa do projeto quando quiser. A aba Segurança do seu chat analisa o código, relata o que encontrou em linguagem simples, em oito áreas, de permissões de acesso a pagamentos, e pode aplicar as correções por você. A primeira verificação de cada chat é gratuita.O que fica com você
Quando você publica um projeto no Macaly, a aplicação em si é sua. Algumas coisas ficam naturalmente com você, porque dependem do seu projeto e dos seus usuários.Dados e conformidade
Você decide quais dados seu projeto coleta e armazena. A conformidade com o GDPR, o CCPA e outras leis aplicáveis aos seus usuários finais deve ser planejada como parte da construção. Na prática, isso costuma significar:- Informar seus usuários sobre como os dados deles são tratados
- Adicionar uma política de privacidade se o projeto coletar dados pessoais
- Incluir um banner de cookies se o projeto atender visitantes da UE
- Estar preparado para atender pedidos dos usuários de acesso, correção e exclusão de dados
Os controles de acesso da sua aplicação
O agente pode criar autenticação, controle de acesso por papéis e garantir que cada usuário veja apenas os próprios dados. Como isso é configurado no seu projeto, e quem vê o quê, faz parte de descrever o que você quer. A próxima página, Como criar apps seguros, mostra como fazer isso bem.Backups
O Macaly oferece várias proteções para o seu projeto e os seus dados:- As versões do projeto são salvas conforme o agente trabalha. Você pode restaurar uma versão anterior a partir de qualquer mensagem do chat.
- O código-fonte dos projetos conectados ao git tem backup durável do lado do Macaly.
- Os snapshots do banco de dados podem ser exportados como um arquivo ZIP na aba Banco de dados sempre que você quiser ter uma cópia própria dos seus dados.
- A integração com o GitHub (plano Pro ou superior) faz backup do código-fonte do projeto em um repositório privado
- Duplicar chats cria uma cópia independente do projeto, como ponto de segurança antes de mudanças maiores
Recursos de IA no seu app
Se o seu projeto inclui recursos de IA para usuários finais, como chatbots, geração de conteúdo ou resumos, a configuração e os resultados que eles produzem fazem parte do seu projeto. Seus usuários finais precisam saber quando estão interagindo com uma IA, e o aviso do próprio Macaly dentro do app não se estende ao que você publica. Como usar a IA com responsabilidade explica o que adicionar e onde.Pagamentos
O Macaly não é um processador de pagamentos e não armazena nem transmite dados de cartão. Se o seu projeto aceita pagamentos, use um provedor de pagamentos hospedado, que processe os cartões na própria infraestrutura. Evite armazenar números de cartão, CVCs ou outros dados de pagamento brutos no banco de dados do projeto.Quando o Macaly é a escolha certa
O Macaly foi feito para sites institucionais, landing pages, ferramentas internas, dashboards, MVPs e aplicações web de pequeno e médio porte. Funciona bem em projetos em que você quer andar rápido e iterar com base em feedback real. Em projetos que envolvem dados altamente regulados, pode ser necessário um trabalho de conformidade além do que o Macaly cobre por padrão. Isso inclui:- Dados de saúde sujeitos à HIPAA ou a regulamentações semelhantes
- Dados brutos de cartão de pagamento sujeitos ao PCI DSS
- Apps voltados a crianças menores de 13 anos (COPPA) ou menores de 18