Tema
Segurança
Segurança em integrações e cadastro: onde a chave de API não pode estar, escopos por ambiente, assinatura de webhook e OTP versus 2FA.
7 artigos
Uma chave para tudo é uma chave para o estrago todo
Se esta chave vazar hoje, o que a pessoa consegue fazer? Separar produção de teste sozinho já elimina a maior parte dos incidentes, e leva uma tarde.
Equipe AltiviaCloud · 6 de setembro de 2026
O que registrar em log de integração, e o que nunca
Ou falta o que você precisa no incidente, ou sobra o que nunca deveria ter sido gravado. Mascarar em vez de omitir, e um teste rápido no log da semana.
Equipe AltiviaCloud · 6 de setembro de 2026
Prevenir cadastro em massa sem afastar quem é real
Toda barreira cobra pedágio de quem é cliente. Escalone em vez de barrar, e proteja o benefício em vez do cadastro.
Equipe AltiviaCloud · 6 de setembro de 2026
Rotacionar chave de API sem downtime
Revogar antes de trocar derruba a integração. A ordem que mantém duas chaves válidas por alguns minutos, o passo que todo mundo pula, e quando inverter tudo porque houve vazamento.
Equipe AltiviaCloud · 5 de setembro de 2026
Validar assinatura de webhook sem se enganar
Comparar com !== vaza o segredo pelo tempo de resposta, e reserializar o corpo antes do HMAC faz a assinatura nunca bater. Os dois modelos, os erros de cada um e três testes que provam que está de pé.
Equipe AltiviaCloud · 5 de setembro de 2026
Onde a chave de API nunca pode estar
Repositório, navegador e arquivo de texto. Como rotacionar sem derrubar produção, e por que descobrir o caminho do vazamento é o passo que ninguém faz.
Equipe AltiviaCloud · 2 de setembro de 2026
Código por SMS não é a mesma coisa que 2FA
SMS é excelente para verificar um contato e é o mais fraco dos segundos fatores. A diferença muda como você protege a conta dos seus clientes.
Equipe AltiviaCloud · 2 de setembro de 2026