NashNashNashProdução
A segurança depende de segredos server-side, menor privilégio, validação de assinatura e isolamento por tenant.
API keys ficam como hash. Tokens OAuth, credenciais de provedor e segredos de webhook ficam criptografados quando precisam ser recuperados. Não os coloque em logs, analytics, URLs ou bundles públicos.
A Nash deriva workspaceId e gatewayId da chave ou sessão. IDs enviados pelo cliente nunca concedem acesso. Recursos associados são consultados novamente dentro da mesma fronteira.
www.nash.lat hospeda marketing, app.nash.lat hospeda control plane e API, e gateways usam outro domínio raiz ou domínio próprio verificado. Cookies são host-only.
Valores usam centavos inteiros. Pix, reembolso e conciliação são idempotentes. A liquidação pertence à adquirente e split ou subconta precisa ser oficial; a Nash não simula saldo bancário.
Exija HTTPS, valide a assinatura sobre o corpo bruto, deduplique event.id e aplique uma janela temporal ao X-Webhook-Timestamp. Não confie apenas no IP de origem.
Homologue OAuth, Pix, confirmação, webhook, conciliação e reembolso em sandbox; teste isolamento malicioso, restauração de backup, rotação de segredos e indisponibilidade de MongoDB, Redis e provedor; mantenha WAF, bots e alertas externos ativos.
Consulte o Trust Center em https://www.nash.lat/security e security.txt em https://www.nash.lat/.well-known/security.txt para relatar vulnerabilidades.