Segurança
Isolamento aplicado pela infraestrutura,
em três níveis.
Cada cliente constitui uma raiz de isolamento no banco de dados e no grafo de permissões. A segregação não depende de um filtro escrito corretamente em cada consulta: ela é imposta pela camada de armazenamento.
Dados
O isolamento é aplicado no banco de dados, em todas as tabelas. Uma consulta que escape da aplicação retorna vazia. Clientes com exigência regulatória de segregação física dispõem de banco dedicado.
Objetos
Autorização por relação, e não por cargo: quem pode acessar determinada pasta, determinado projeto ou determinado arquivo, com herança pela hierarquia. Um grafo com 13 tipos e 65 relações governa a interface, os arquivos, a busca e os agentes.
Aplicativos
Cada aplicativo declara em manifesto os dados e as capacidades que utiliza, e o manifesto é imutável por versão. A ampliação de escopo exige publicação de nova versão, o que a torna visível e auditável.
Instalação transacional
O registro do aplicativo e as permissões correspondentes são gravados na mesma transação. Não existe estado intermediário em que um aplicativo esteja instalado sem as permissões que o tornam acessível, ou o contrário.
Auditoria completa
O registro é somente incremental e contempla os acessos concedidos e os negados, com autor, objeto e momento. O aplicativo de Logs disponibiliza essa trilha diretamente ao administrador, o que sustenta processos de conformidade com evidência verificável.
Identidade federada
A autenticação é delegada ao provedor de identidade corporativo, com provisionamento no primeiro acesso e revogação imediata no desligamento. Não há credencial própria da plataforma a ser gerenciada separadamente.
Segredos em cofre
Credenciais de sistemas integrados são armazenadas em cofre dedicado. O banco de dados operacional guarda apenas a referência, nunca o segredo.
A decisão de negar acesso é do servidor. Filtrar a interface melhora a navegação, e o kernel revalida a permissão a cada acesso, inclusive quando a origem é um agente de IA.