Segurança
Segurança que faz parte do produto
Autenticação de dois fatores, proteção contra bots na edge, uma Content Security Policy rigorosa em todas as páginas públicas, estatísticas sem rastreadores e uma plataforma que armazena e analisa os dados apenas em Frankfurt. Nada disso é um extra.
Níveis de proteção contra bots e scrapers
Defina uma vez para o espaço de trabalho e depois substitua por página ou por link onde for preciso. O nível do próprio link prevalece sobre o da página, o da página sobre o do espaço de trabalho. A verificação roda no servidor edge antes de uma visualização ou clique ser registrado, então o tráfego bloqueado nunca chega às suas estatísticas.
Sem verificações de bots neste link ou página. As regras de país, dispositivo e agendamento continuam valendo.
Bloqueia bots conhecidos: crawlers de busca e de IA, ferramentas de SEO, navegadores headless e bots de monitoramento, reconhecidos pelas suas assinaturas, que mantemos atualizadas. Requisições sem nenhuma identificação de navegador são sempre bloqueadas. É o nível padrão de todos os espaços de trabalho.
Tudo o que está em “Padrão”, mais uma verificação de rede: tráfego vindo de data centers, provedores de hospedagem e de nuvem em vez de uma conexão real é bloqueado. Disponível a partir do plano Basic.
Servida a partir da edge
Frankfurt · GDPR por padrão
Onde os seus dados ficam
Armazenamento e análise apenas em Frankfurt
Contas, rascunhos, páginas publicadas, envios de formulários, listas de seguidores e estatísticas são armazenados e analisados apenas no nosso data center em Frankfurt am Main, Alemanha, sob a legislação alemã e da UE. Os backups ficam na UE. As transferências para países terceiros só ocorrem com base em uma decisão de adequação ou nas cláusulas contratuais-padrão da UE.
Rede edge mundial, dados apenas em Frankfurt
As páginas e os redirecionamentos são entregues por uma rede edge mundial, a partir do servidor mais próximo do visitante, para que cada página carregue rápido onde quer que seja aberta. Todos os dados gerados nesse processo viajam criptografados até Frankfurt e só lá são armazenados e analisados. As estatísticas de visitantes usam um hash com chave do endereço IP; por segurança e para prevenir abusos, os nossos logs de auditoria e de segurança guardam o endereço IP completo por um período limitado (veja a política de privacidade).
Estatísticas sem rastreadores
As visualizações e os cliques são contados de forma anônima, sem cookie. Um cookie próprio só distingue as visitas repetidas depois que o visitante aceita o banner de cookies. Nenhum script de terceiros, nenhum fingerprinting, nenhuma rede de anúncios, nenhum perfil individual. As contagens são agregadas por página, link e bloco.
Segurança da conta
Autenticação de dois fatores com um app autenticador e códigos de recuperação. Os refresh tokens são trocados a cada uso e um token reutilizado encerra a sessão inteira. Senhas erradas deixam as tentativas seguintes mais lentas com bloqueios curtos por endereço de e-mail e por IP, e depois de muitos códigos 2FA errados o login em dois fatores dessa conta fica bloqueado por 15 minutos.
Todas as páginas públicas com uma CSP rigorosa
As páginas públicas trazem uma Content Security Policy com um nonce por requisição, para que só os nossos próprios scripts rodem. Os vídeos incorporados carregam atrás de um pedido de consentimento. Os uploads aceitam apenas imagens (JPEG, PNG, WebP, GIF), vídeo (MP4, WebM, MOV), áudio (MP3, WAV, OGG, M4A), PDF e ZIP, reconhecidos pelo conteúdo do arquivo e não pelo nome; SVG e scripts são recusados.
Log de auditoria e DPA
Cada publicação, alteração de membros, evento de tokens e ação destrutiva fica registrado com autor e data. Uma exportação para clientes está no roadmap. Um acordo de processamento de dados (DPA) nos termos do art. 28 do GDPR está disponível sob solicitação; os clientes Enterprise podem pedir condições personalizadas.
O nível “Estrita”, as regras de links e as chaves de API vêm com o Basic; veja planos e limites. As chaves com scopes e os webhooks assinados estão descritos na documentação da API, e alternativas ao Linktree comparadas mostra como outras ferramentas lidam com hospedagem e rastreamento.
Encontrou uma vulnerabilidade?
Escreva para security@linkharbor.com. Procuramos responder em até dois dias úteis e não processamos pesquisadores que reportam de boa-fé.