Práticas e normas
Como operamos, e o que isso não significa.
Esta página descreve práticas concretas em uso hoje e o enquadramento normativo do trabalho. Não declara certificação, atestação ou conformidade formal — nenhuma delas existe sem auditoria por entidade competente.
Práticas em uso
Cada linha corresponde a configuração real. Quando uma prática muda, esta linha muda ou desaparece.
- Exposição
- A aplicação corre em loopback e é exposta apenas por túnel Cloudflare. Não está publicada diretamente na rede local.
- Cabeçalhos
- Content-Security-Policy com nonce gerado por pedido e strict-dynamic. Scripts sem nonce não executam, incluindo os de terceiros.
- Identidade
- Autenticação por Keycloak OIDC, com a sessão ligada ao emissor que a criou.
- Segundo fator
- MFA exigido nas operações de moderação, com registo de auditoria próprio para cada verificação.
- Superfícies privadas
- Consola, API autenticada e login ficam atrás de sessão e são excluídos de indexação no robots.txt.
Enquadramento normativo
Quatro normas moldam o trabalho. Cada página explica o que a norma exige, o que a Velqory faz e o que só um auditor pode declarar.
O que esta página não declara
- A Velqory não é certificada ISO 27001 nem atestada SOC 2.
- Nenhum cliente fica certificado ou conforme por trabalhar com a Velqory.
- Certificação e atestação dependem de auditoria por entidade competente e de certificado válido.
- Esta página não substitui consultoria jurídica, auditoria certificadora nem a gestão interna do cliente.
Precisa de avaliar isto em detalhe?
Para due diligence de fornecedor, respondemos a questionários de segurança com a documentação que sustenta cada afirmação acima.