Identidade e acesso
Sessões são validadas no servidor. Clientes não acessam o painel de lojas, e cada loja visualiza somente os próprios dados por meio de políticas RLS no PostgreSQL.
Dados pessoais
Documentos brasileiros são validados localmente pelos dígitos verificadores antes do cadastro e armazenados com hash HMAC para busca segura de duplicidades, mantendo apenas os últimos quatro dígitos quando necessário para identificação. Essa validação não confirma a existência do CPF na base da Receita Federal.
Integrações
Webhooks de pagamento e WhatsApp exigem assinaturas válidas e idempotência. Segredos permanecem apenas no servidor e nunca são enviados ao navegador.
Relato responsável
Encontrou uma possível vulnerabilidade? Envie detalhes para seguranca@pedecerto.com.br sem explorar dados de terceiros.