Política de segurança

A política de segurança da MailGrid é fundamentada nos três pilares clássicos da segurança da informação, aplicados em toda a cadeia operacional da plataforma:

Confidencialidade
Os dados operacionais, credenciais de acesso e informações dos clientes são acessíveis exclusivamente por pessoal autorizado e por sistemas com necessidade legítima de acesso, definida pelo princípio do menor privilégio (least privilege). Todo dado sensível em trânsito é protegido por criptografia de canal, e dados em repouso são protegidos por controles de acesso granulares em nível de sistema operacional, banco de dados e aplicação.

Integridade
Mecanismos técnicos garantem que dados operacionais não sejam alterados de forma não autorizada, seja durante o transporte ou em repouso. O transporte de mensagens é protegido por assinaturas DKIM, que detectam qualquer modificação de conteúdo em trânsito. Alterações em configurações críticas de infraestrutura são registradas em logs de auditoria com timestamp e identificação do executor.

Disponibilidade
A plataforma é projetada para alta disponibilidade, com redundância em todos os componentes críticos, monitoramento 24x7 e procedimentos documentados de resposta a incidentes. A infraestrutura opera em datacenters Tier III (Equinix) e AWS, com SLA de disponibilidade definido contratualmente.

A proteção do perímetro de rede é a primeira linha de defesa da plataforma. A MailGrid implementa uma arquitetura de segurança em profundidade (defense in depth), na qual múltiplas camadas independentes de controle atuam de forma complementar.

Firewall de dupla camada
O tráfego de entrada e saída é inspecionado por dois níveis independentes de firewall: o primeiro atua na camada de rede e transporte (L3/L4) com inspeção stateful de pacotes, bloqueando tráfego não autorizado antes que alcance os servidores de aplicação; o segundo opera na camada de aplicação (L7), com capacidade de inspecionar e filtrar o conteúdo das requisições, incluindo detecção de padrões maliciosos em protocolos de nível superior.

Proteção anti-DDoS
A plataforma conta com proteção contra ataques de negação de serviço distribuída (DDoS) em múltiplas camadas. Na camada de rede, ataques volumétricos são absorvidos e mitigados antes de atingir a infraestrutura de servidores. Na camada de aplicação, mecanismos de rate limiting, análise comportamental de requisições e bloqueio automático de origens maliciosas garantem a continuidade do serviço mesmo sob tentativas de sobrecarga dirigida.

Segmentação de rede
Os componentes da plataforma operam em segmentos de rede isolados por função: servidores de recepção SMTP, servidores de fila e processamento, servidores de entrega (MTA de saída), banco de dados e painel de controle estão em segmentos distintos com regras de comunicação explicitamente definidas. Comunicação entre segmentos não prevista na política é bloqueada por padrão (default deny).

Monitoramento de tráfego
O tráfego de rede é monitorado continuamente para detecção de anomalias, padrões de varredura (port scan), tentativas de enumeração e outros comportamentos indicativos de reconhecimento ou ataque. Eventos suspeitos geram alertas automáticos com resposta imediata da equipe de operações.

O acesso à infraestrutura de servidores é estritamente controlado e auditado, com aplicação do princípio do menor privilégio em todos os níveis.

Acesso remoto por chave criptográfica
O acesso administrativo aos servidores é realizado exclusivamente via protocolo SSH com autenticação por par de chaves criptográficas (algoritmo ED25519). A autenticação por senha é desabilitada em todos os servidores da plataforma. Chaves privadas são gerenciadas com controles rígidos de armazenamento e nunca transmitidas ou armazenadas em sistemas não autorizados.

Princípio do menor privilégio
Cada componente de sistema e cada membro da equipe operacional possui apenas as permissões estritamente necessárias para a execução de suas funções. Contas com privilégio administrativo completo (root) são utilizadas exclusivamente quando tecnicamente indispensável, com registro obrigatório da justificativa e do escopo da operação.

Segregação de funções
As funções de operação, desenvolvimento e auditoria são exercidas por perfis distintos, sem sobreposição de privilégios. Alterações em configurações de produção seguem fluxo de aprovação documentado, impedindo que uma única pessoa realize e aprove mudanças críticas sem supervisão.

Registro de auditoria (audit log)
Toda sessão administrativa, alteração de configuração e operação privilegiada é registrada em logs de auditoria imutáveis, com timestamp, identificação do executor, IP de origem e descrição da operação realizada. Esses registros são retidos por período definido na política interna e não são acessíveis para edição pelos próprios operadores.

Todos os dados em trânsito entre clientes e a plataforma MailGrid são protegidos por criptografia forte, sem exceção. A plataforma não aceita comunicações não criptografadas em nenhum dos seus canais de acesso autenticado.

TLS nas conexões SMTP
Conexões SMTP autenticadas (portas 587 e 465) operam obrigatoriamente sobre TLS 1.2 ou TLS 1.3. O handshake TLS negocia cifras simétricas modernas com suporte a Perfect Forward Secrecy (PFS), garantindo que o comprometimento de uma chave de sessão não comprometa sessões anteriores ou futuras. As cifras priorizadas são AES-256-GCM e ChaCha20-Poly1305, ambas com autenticação integrada (AEAD).

TLS nas conexões de entrega (MTA de saída)
A plataforma tenta estabelecer conexões TLS (STARTTLS) com todos os servidores de destino durante a entrega. Quando o servidor destinatário suporta e anuncia STARTTLS, a entrega ocorre obrigatoriamente sobre canal criptografado. A plataforma também suporta MTA-STS (RFC 8461), que permite a domínios destinatários publicar política de exigência de TLS para recebimento.

HTTPS no painel de controle e API
O painel de controle e todos os endpoints da API REST operam exclusivamente sobre HTTPS com certificado TLS válido emitido por autoridade certificadora reconhecida. Versões obsoletas de TLS (1.0 e 1.1) e cifras consideradas inseguras (RC4, 3DES, NULL) estão explicitamente desabilitadas.

DANE / TLSA (DNS-based Authentication of Named Entities)
A plataforma publica registros TLSA no DNS, permitindo que servidores de destino com suporte a DANE verifiquem criptograficamente a autenticidade do certificado TLS apresentado durante a entrega, mitigando ataques de downgrade e de interceptação de TLS.

Os dados operacionais gerados e armazenados pela plataforma são tratados com controles rigorosos de acesso, retenção e eliminação.

Categorias de dados operacionais gerenciados:

- credenciais de acesso SMTP e tokens de API (armazenados com hash criptográfico irreversível)
- metadados de envio: remetente, destinatário, timestamp, status e código de resposta
- logs de entrega e bounce com histórico de retentativas
- dados de autenticação de sessão no painel de controle
- registros de eventos de segurança e logs de auditoria administrativa

Armazenamento seguro de credenciais
Senhas e credenciais de acesso nunca são armazenadas em texto claro. O armazenamento utiliza funções de derivação de chave com salt criptográfico individual por credencial, tornando inviável a recuperação da senha original mesmo em caso de acesso não autorizado à base de dados.

Controle de acesso a dados por função
O acesso aos dados operacionais é segmentado por função: dados de um cliente não são acessíveis por outro cliente em nenhuma circunstância. O isolamento é aplicado em nível de banco de dados, com queries parametrizadas e controles de escopo por conta em todos os endpoints da API e do painel.

Retenção e eliminação
Logs de envio são retidos por 90 dias corridos. Após o encerramento de uma conta, os dados operacionais são eliminados de forma segura dentro do prazo definido contratualmente, seguindo procedimentos que impedem recuperação posterior.

A plataforma implementa mecanismos ativos de detecção e bloqueio de tentativas de acesso não autorizado por força bruta (brute force) e por enumeração de credenciais, atuando nos três vetores de acesso à plataforma.

Conexões SMTP
Tentativas de autenticação com falha repetida a partir do mesmo IP ativam bloqueio automático progressivo, com escalada do tempo de bloqueio conforme o número de tentativas acumuladas no intervalo monitorado. IPs com comportamento de varredura de credenciais (credential stuffing) são identificados por análise de padrão e bloqueados preventivamente.

API REST
Requisições com token inválido ou ausente são contabilizadas por IP de origem. Após exceder o limiar configurado por janela de tempo, o IP é bloqueado temporariamente e o evento é registrado nos logs de segurança para análise. Tokens comprometidos podem ser revogados imediatamente pelo cliente através do painel de controle.

Painel de controle
Tentativas de login com falha ativam lockout progressivo da conta e do IP de origem, com notificação automática ao titular. O mecanismo de autenticação de dois fatores (2FA/TOTP) opera como barreira independente das credenciais primárias: mesmo que uma senha seja descoberta por ataque de força bruta ou vazamento, o acesso ao painel permanece bloqueado sem o segundo fator, que é gerado localmente no dispositivo do usuário e válido por janela de tempo de 30 segundos.

A MailGrid mantém processo contínuo de gestão de vulnerabilidades em todos os componentes da plataforma, com o objetivo de minimizar a janela de exposição entre a publicação de vulnerabilidades conhecidas e a aplicação das correções correspondentes.

Atualizações de segurança
Patches de segurança críticos são avaliados e aplicados em janelas de manutenção controladas, priorizando a continuidade do serviço. Vulnerabilidades classificadas como críticas (CVSS ≥ 9.0) são tratadas com urgência máxima, com aplicação fora de janela regular quando necessário.

Monitoramento de CVEs
A equipe de segurança acompanha ativamente os boletins de segurança dos fornecedores de software utilizados na plataforma (sistema operacional, bibliotecas, componentes de infraestrutura), avaliando o impacto de cada CVE publicado sobre o ambiente de produção.

Hardening de sistemas
Todos os servidores em produção seguem baseline de configuração segura (hardening), com desabilitação de serviços desnecessários, restrição de protocolos obsoletos, configuração de parâmetros de kernel para mitigação de classes de ataque conhecidas (SYN flood, IP spoofing, ICMP redirect) e auditoria periódica de conformidade com a baseline definida.

A plataforma opera sob monitoramento contínuo 24 horas por dia, 7 dias por semana, com sistemas automatizados de detecção de anomalias e equipe de operações disponível para resposta a incidentes.

Monitoramento de infraestrutura
Serviços, filas de envio, conectividade de rede, uso de recursos e métricas operacionais são monitorados em tempo real com alertas automáticos para desvios de comportamento esperado. Eventos que excedem limiares configurados geram notificações imediatas à equipe de plantão.

Monitoramento de segurança
Logs de autenticação, tentativas de acesso negado, anomalias de tráfego e eventos de segurança são correlacionados e analisados continuamente. Padrões indicativos de atividade maliciosa (scanning, brute force, exfiltração) ativam resposta automática seguida de análise manual.

Plano de resposta a incidentes
A MailGrid mantém plano documentado de resposta a incidentes de segurança, cobrindo as fases de detecção, contenção, erradicação, recuperação e análise pós-incidente. Incidentes com potencial impacto sobre dados de clientes são comunicados nos prazos e formas definidos contratualmente e em conformidade com as obrigações da LGPD.

A segurança física da infraestrutura é garantida pelos controles das instalações onde a plataforma opera: datacenters AWS e Equinix, ambos com certificação e auditoria independente de segurança física.

Controles físicos nas instalações:

- acesso físico às instalações restrito a pessoal autorizado e credenciado individualmente
- autenticação multifator para entrada em áreas de acesso restrito (cartão + biometria)
- câmeras de monitoramento com cobertura total das áreas de equipamentos e corredores de acesso
- registro de auditoria de todas as visitas, incluindo identificação, horário de entrada e saída
- monitoramento ambiental contínuo: temperatura, umidade, fumaça e partículas
- sistemas de supressão de incêndio específicos para ambientes com equipamentos eletrônicos
- redundância de energia com UPS, PDUs independentes por corredor e grupos geradores com autonomia estendida

Nenhum membro da equipe MailGrid possui acesso físico aos equipamentos de forma não supervisionada ou sem registro. Todo acesso físico às instalações é previamente autorizado e auditável.

Os componentes de software da plataforma — painel de controle, API REST e sistemas internos de processamento — são desenvolvidos e mantidos com práticas de segurança aplicadas em todo o ciclo de vida do software.

Proteção contra injeção e manipulação de dados
Todas as entradas recebidas pela API e pelo painel de controle são validadas, sanitizadas e processadas por meio de consultas parametrizadas ao banco de dados, eliminando a superfície de ataque para injeção de SQL e similares. Dados recebidos via SMTP são tratados como conteúdo não confiável em todos os estágios de processamento.

Proteção de sessão no painel
Sessões autenticadas no painel de controle utilizam tokens de sessão gerados com entropia criptográfica adequada, transmitidos exclusivamente sobre HTTPS com atributos Secure e HttpOnly nos cookies, impedindo acesso por scripts e transmissão acidental sobre canais não criptografados. Sessões expiram automaticamente após período de inatividade.

Headers de segurança HTTP
O painel de controle e a API implementam headers de segurança HTTP, incluindo Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options e X-Content-Type-Options, mitigando classes de ataque como clickjacking, injeção de conteúdo e downgrade de protocolo.

A MailGrid opera em conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD), no papel de operadora dos dados pessoais processados em nome dos seus clientes (controladores).

Papel da MailGrid como operadora
A plataforma processa dados pessoais dos destinatários (endereços de e-mail e metadados de envio) exclusivamente para execução do serviço contratado, sem utilização para finalidades próprias, compartilhamento com terceiros não autorizados ou retenção além do prazo operacional necessário.

Medidas técnicas e organizacionais
A MailGrid implementa as medidas técnicas e organizacionais exigidas pelo art. 46 da LGPD para proteção dos dados pessoais tratados na plataforma, incluindo:

- criptografia de dados em trânsito e controles de acesso em repouso
- registros de auditoria de acesso a dados pessoais
- controles de acesso baseados em necessidade operacional comprovada
- procedimentos de notificação de incidentes com impacto a dados pessoais
- eliminação segura de dados ao término do relacionamento contratual

Responsabilidade do cliente como controlador
O cliente, na qualidade de controlador, é responsável pela base legal do tratamento dos dados dos seus destinatários, pelo consentimento quando aplicável e pela conformidade integral com a LGPD no que se refere ao uso da plataforma MailGrid para processamento de dados pessoais.

Para informações sobre o tratamento de dados pessoais dos próprios clientes MailGrid (dados cadastrais e contratuais), consulte a Política de Privacidade da plataforma:

Acessar Política de Privacidade

A segurança da informação no contexto da plataforma MailGrid é uma responsabilidade compartilhada entre a MailGrid e o cliente. A MailGrid garante a segurança de toda a infraestrutura e dos componentes da plataforma; o cliente é responsável pela segurança do seu lado da integração.

Compete ao cliente:

- proteger as credenciais SMTP e tokens de API, não compartilhando-os com terceiros não autorizados
- habilitar e manter ativo o 2FA no acesso ao painel de controle
- revogar imediatamente credenciais e tokens em caso de suspeita de comprometimento
- garantir a segurança da aplicação que realiza a integração com a plataforma
- manter atualizadas as bibliotecas e componentes de software utilizados na integração SMTP ou API
- implementar e manter os registros SPF, DKIM e DMARC do domínio remetente
- garantir conformidade legal dos envios realizados e dos dados dos destinatários
- notificar a MailGrid imediatamente em caso de suspeita de uso não autorizado das suas credenciais

A MailGrid não se responsabiliza por incidentes de segurança decorrentes de falhas no cumprimento das responsabilidades listadas acima, conforme definido nos Termos de Uso da plataforma.

A MailGrid encoraja a comunicação responsável de vulnerabilidades de segurança identificadas na plataforma. Pesquisadores de segurança e clientes que identificarem potenciais vulnerabilidades são convidados a reportá-las de forma privada antes de qualquer divulgação pública.

Relatos de segurança devem ser enviados para o canal de segurança da plataforma com descrição técnica da vulnerabilidade, passos para reprodução e avaliação de impacto. A MailGrid se compromete a analisar e responder a todos os relatos recebidos dentro de prazo razoável.

Para contato sobre segurança:

Reportar vulnerabilidade

Esta política é revisada periodicamente pela equipe de segurança e operações da MailGrid, ou sempre que houver alterações significativas na infraestrutura, nos processos operacionais ou na legislação aplicável.

Alterações relevantes são comunicadas aos clientes pelos canais oficiais da plataforma com antecedência razoável. A versão vigente desta política é sempre a publicada nesta página.

Para dúvidas sobre esta política ou sobre as práticas de segurança da plataforma:

Falar com o suporte   |   Acessar contrato