Segurança

O navegador fala apenas com a nossa porta de entrada. O site institucional e o painel rodam na Vercel; toda requisição de API é encaminhada no servidor para um plano de controle privado que a internet pública não alcança diretamente. O motor autônomo roda em uma conta AWS isolada e é o único componente que alcança os seus sistemas, e apenas dentro de um escopo que você verificou e autorizou.

Dados de cliente — a sua conta, achados, evidências de varredura e relatórios — ficam armazenados na AWS sa-east-1 (São Paulo), via Supabase e Amazon S3. Para clientes em outras regiões isso é uma transferência internacional; a nossa Política de Privacidade descreve as salvaguardas aplicáveis.

Os dados são criptografados em trânsito com TLS e em repouso com AES-256, gerenciado pelos nossos provedores de armazenamento. Segredos e credenciais que você fornece para testes autenticados ficam em um cofre de segredos selado e nunca são gravados em achados, logs ou relatórios.

O acesso é regido por controle de acesso baseado em papéis, com três camadas: a associação e os papéis na sua organização, substituições de capacidade por membro e aplicação no servidor em toda requisição que altera dados (o row-level security isola os dados de cada tenant). O acesso do time Panoptes a dados de cliente é limitado ao necessário para operar o serviço e é registrado.

A Panoptes captura prova mascarada de um achado validado — prova, não loot —, nunca os seus dados exfiltrados. A evidência é restrita à sua organização. Você pode excluir achados e suas evidências pelo painel, e no encerramento apagamos os seus dados em até 90 dias, a menos que você peça antes ou que a lei exija retenção. As janelas de retenção podem ser reduzidas por acordo para um engajamento.

O teste ativo parte de um conjunto pequeno de endereços IP estáticos que você pode liberar na allowlist, então você sempre sabe que o tráfego é nosso. Um deles é 3.239.201.26; a lista completa e atual é publicada no painel e nas Regras de Engajamento de cada engajamento antes da sua primeira execução. Os scanners passivos são somente leitura; qualquer coisa intrusiva roda apenas sob uma autorização assinada por execução, com limite de taxa e egress restrito.

Usamos uma lista curta de subprocessadores de infraestrutura para operar o serviço. A lista atual, e como avisamos sobre mudanças, está em /legal/subprocessors.

Se você acredita ter encontrado um problema de segurança na Panoptes, escreva para security@pnpts.com. Vamos confirmar o recebimento, manter você informado e não tomaremos medidas contra pesquisa de boa-fé conduzida sob esta política. Por favor, dê um prazo razoável para a correção antes de qualquer divulgação pública. A nossa política legível por máquina está em /.well-known/security.txt.

A Panoptes ainda não é certificada SOC 2. Estamos construindo para isso e temos como alvo um relatório SOC 2 Type I no segundo semestre de 2027. Enquanto isso, temos prazer em percorrer com clientes potenciais esta página, a nossa lista de subprocessadores e um questionário de segurança.

Dúvidas de segurança? Escreva para security@pnpts.com. Para qualquer outro assunto, contact@panoptesdefense.com.