Segurança e privacidade
Segurança e privacidade: suas chaves e seus dados ficam no seu computador
CLAQON é um software auto-hospedado: é instalado no seu computador ou em um servidor em seu nome e se comunica diretamente com os seus fornecedores e as suas redes. Aqui você vê como ele cuida da segurança e da privacidade das suas chaves, do seu painel e dos seus dados, que limites tem e que dados CLAQON poderia tratar como empresa.
- Segredos criptografados com AES-256-GCM
- Proteção CSRF e CSP em modo de bloqueio
- Rede de saída sem endereços privados
O que resolve
Seus dados e seus vídeos, no seu computador
Contas, chaves, roteiros, vídeos e registros ficam armazenados no seu computador ou no seu servidor. CLAQON não precisa de uma nuvem própria para funcionar: chama diretamente o modelo de IA, a voz, os clipes de banco de imagens e as redes que você configura, com as suas chaves.
Cada fornecedor recebe o que precisa para a sua parte do trabalho: o modelo de IA, o texto do roteiro; o YouTube, o vídeo. Para o Instagram e o Facebook, o vídeo pronto passa pelo seu Google Drive com um link compartilhado. Cada serviço o trata conforme as próprias condições; por isso, é você quem decide a quem se conectar.
Como funciona
Como CLAQON protege as suas chaves
- Segredos criptografados em repouso
- As credenciais das contas e os depósitos de chaves são criptografados com AES-256-GCM, com um nonce próprio para cada segredo e vinculados à respectiva conta e ao respectivo campo.
- Conexões e aplicativos OAuth
- Também são armazenados criptografados. As credenciais descriptografadas nunca voltam ao navegador.
- Token do Telegram
- É armazenado criptografado; se não houver chave de criptografia, não é armazenado.
- Segredo de cada webhook
- É armazenado criptografado e mostrado uma única vez, ao ser criado.
Acesso ao painel
Quem pode abrir o seu painel e o que ele verifica
- Usuário e senha
- Para entrar de fora do computador. Sem senha configurada, o painel só atende quem está diante do computador, sem túnel nem proxy.
- Bloqueio por tentativas
- 10 credenciais erradas seguidas a partir de um IP o bloqueiam por 10 minutos.
- Troca de senha
- No próprio painel, de 12 a 128 caracteres e sem reiniciar.
- Proteção CSRF
- Toda escrita verifica a origem da requisição e se ela chega ao nome da sua instalação, exige corpo JSON e, nas ações sensíveis, um cabeçalho de operação.
- Cabeçalhos de segurança
- Política de segurança de conteúdo (CSP) em modo de bloqueio, proibição de incorporar o painel em outras páginas, nosniff, Referrer-Policy, Permissions-Policy e HSTS.
- OAuth com state
- Cada conexão por OAuth usa um parâmetro state vinculado à rede correspondente.
Capacidades
Rede de saída, contêineres, backups e atualizações
- Rede de saída segura
- Os downloads e as chamadas para endereços que você digita resolvem o nome, recusam endereços privados, fixam o IP resolvido, revalidam cada redirecionamento e limitam tamanho e tempo. Ela é usada pelas fontes próprias, pelo modelo personalizado, pelo Tinta, pelos webhooks e pelas tendências.
- Contêineres reforçados
- Serviços internos só em 127.0.0.1 e imagens fixadas pelo hash. O motor exige token e roda sem root, sem capacidades extras, sem escalonamento de privilégios e com limites de memória, CPU e processos.
- FFmpeg sem rede
- O FFmpeg não pode abrir protocolos de rede a partir de arquivos locais.
- Instalador que verifica
- Lê o pacote por partes, recusa links e caminhos fora da pasta dele e verifica o SHA-256 de cada arquivo.
- Backups criptografados
- Por padrão, com AES-256-GCM e uma chave derivada da sua senha com scrypt.
- Atualizações assinadas Beta
- Assinatura Ed25519, SHA-256 por arquivo e reversão se algo falhar antes do ponto de não retorno.
O que não afirmamos
Limites que vale a pena conhecer
- Nem tudo é criptografado: sem a chave de criptografia, os segredos ficam em texto claro, o backup sem criptografia é opcional e o ponto de segurança anterior a uma restauração é armazenado sem criptografia.
- Não anunciamos certificações de segurança nem auditorias externas: esta página descreve o que o código faz.
- A segurança do sistema operacional, da sua rede e do acesso físico ao computador depende de você.
- Para conectar a maioria das redes, você precisa de um domínio com HTTPS, normalmente com um túnel. Sem senha, o painel recusa o que chega por ele.
- Há um único usuário por instalação, sem perfis de acesso.
Privacidade
Que dados CLAQON poderia tratar como empresa
O conteúdo da sua instalação — contas, chaves, vídeos, métricas — não passa por CLAQON. Como empresa, só poderíamos tratar estes dados:
- Os que você nos envia nos formulários deste site, como o de acesso antecipado, conforme a política de privacidade.
- Se a sua instalação usa licença, a verificação periódica dela envia o identificador e o token da instalação, a versão, se está produzindo, o número de contas, as datas do último backup e da última atualização, o sistema operacional, o tipo de instalação e o perfil que você informa na primeira inicialização (nome comercial, empresa e contato). Nunca as credenciais dos seus serviços nem os seus conteúdos.
- Se você precisar de suporte remoto com acesso à sua instalação, esse acesso só é feito sob um contrato de operador de dados.
Divulgação responsável
Como relatar uma vulnerabilidade
Se você encontrar uma falha de segurança em CLAQON ou neste site, escreva para nós antes de torná-la pública. A política de divulgação de vulnerabilidades explica como fazer isso, e o arquivo security.txt deste site aponta para o mesmo canal.
Perguntas frequentes
Perguntas sobre segurança e privacidade
CLAQON vê as minhas chaves ou os meus vídeos?
Não. Eles ficam no seu computador ou no seu servidor, e CLAQON não precisa de uma nuvem própria para funcionar. Só haveria acesso se você nos pedisse suporte remoto, e sempre sob um contrato de operador de dados.
Tudo é criptografado?
Nem tudo, e preferimos dizer isso. Os segredos de contas e chaves são criptografados em repouso se a instalação tiver a sua chave de criptografia, que as instalações limpas geram sozinhas. Os backups são criptografados por padrão, exceto o backup sem criptografia, se você o escolher, e o ponto de segurança anterior a uma restauração.
O que acontece se alguém tentar adivinhar a senha do painel?
Após 10 credenciais erradas seguidas, esse IP fica bloqueado por 10 minutos. E, sem senha configurada, o painel não atende nenhuma conexão que não venha do próprio computador.
Posso abrir o painel fora de casa?
Sim, publicando-o em um domínio com HTTPS, por exemplo com um túnel, e sempre com usuário e senha. Cada escrita passa também pela proteção CSRF, que verifica a origem e o nome da instalação.
Ele tem certificações de segurança?
Não anunciamos certificações nem auditorias externas. O que esta página descreve é o que o código do produto faz, com seus limites. Se você encontrar uma falha, siga a política de divulgação de vulnerabilidades.
Acesso antecipado
Tire suas dúvidas de segurança antes de instalar
Se a sua empresa tem requisitos de segurança ou de proteção de dados, conte-nos ao solicitar o acesso. Diremos o que CLAQON cobre hoje e o que não cobre.