Segurança

1. Hospedagem e criptografia

O QR Wait roda na rede da Cloudflare (Workers e Durable Objects) e guarda seus dados lá. Toda conexão é criptografada com HTTPS (TLS), e os navegadores são instruídos a usar só HTTPS em qrwait.app e em todos os seus subdomínios (HSTS, um ano).

As páginas têm uma Política de Segurança de Conteúdo (CSP) rígida: scripts só carregam do QR Wait e da Cloudflare, e nenhum outro site pode exibir o QR Wait dentro de um frame.

A Cloudflare declara ter validações ISO/IEC 27001, ISO/IEC 27701 e ISO/IEC 27018 (Cloudflare Trust Hub). Elas são da Cloudflare; o próprio QR Wait não tem certificação.

2. Contas e login

• As senhas são guardadas só como hash PBKDF2-SHA-256 com salt. Uma senha nova que aparece em vazamentos de dados conhecidos é recusada; para essa verificação, só os 5 primeiros caracteres do hash SHA-1 dela saem do QR Wait (k-anonimato).
• Login em duas etapas com um app autenticador (TOTP), com códigos de recuperação de uso único. Os proprietários veem quais membros da equipe o ativaram.
• Os membros da equipe têm um papel (proprietário, gerente ou atendente) e, se limitados, abrem só as filas que receberam.
• Após 5 logins com falha em uma conta em 24 horas, entrar também exige uma verificação anti-bot (Cloudflare Turnstile).
• Um e-mail é enviado quando a conta é acessada de um navegador novo.
• Uma sessão termina após 14 dias sem uso; trocar a senha ou "Sair dos outros dispositivos" encerra todas as outras.
• Os links de verificação, de redefinição de senha e de convite são de uso único, e só os hashes deles são guardados.

3. Limites de requisições

As requisições são limitadas por endereço IP na borda da Cloudflare: login, cadastro e redefinição de senha 10 por minuto, entrar em uma fila 60 por minuto, a API REST 120 por minuto por chave e 120 por minuto por endereço IP.

4. Dados dos visitantes

• Nunca se pede aos visitantes número de telefone ou e-mail. Um nome só é pedido se o estabelecimento ativar isso na fila.
• Um ticket, com o nome e as respostas do formulário que contém, é apagado no máximo 24 horas depois da entrada na fila, quaisquer que sejam as configurações da fila.
• Nenhuma localização é guardada. Quando uma fila verifica a localização, só a distância até a fila e quando ela foi medida ficam com o ticket.
• O QR code exibido na tela do atendente muda a cada 15 a 75 segundos e cada código vale de 1 a 5 minutos, então uma foto compartilhada em outro lugar não coloca ninguém na fila.
• O que os atendentes fazem no painel fica registrado por 30 dias; os links de atendente podem ser retirados a qualquer momento.

5. Backups

O que não pode ser reconstruído (contas, configurações das filas, saldos de tickets) é exportado todo dia para o Cloudflare R2 e criptografado antes de ser gravado: cada parte com a própria chave AES-256-GCM, que por sua vez é criptografada com uma chave pública (RSA-OAEP). A chave privada que os abre fica guardada offline. As exportações são mantidas por 35 dias.

Os tickets nunca entram em um backup: eles contêm nomes de visitantes e duram no máximo um dia.

6. Integrações

• Os webhooks são assinados com um segredo mostrado uma única vez (HMAC-SHA256 com carimbo de tempo) e só vão para endereços https públicos. Levam apenas números e horários, a menos que o estabelecimento permita nomes para um endereço.
• As chaves de API são mostradas uma vez e guardadas só como hash SHA-256. Uma chave só lê ou também grava, e pode ser revogada a qualquer momento.
• Detalhes para desenvolvedores: a referência da API e dos webhooks (em inglês).

7. Suboperadores

Estas empresas tratam dados em nome do QR Wait para o serviço funcionar:

As notificações do navegador passam pelo serviço de push do próprio navegador do visitante. Como os dados saem da Turquia e da UE é explicado na política de privacidade.

8. Relatar uma vulnerabilidade

Escreva para hello@qrwait.app com o assunto "Security". Confirmamos o recebimento em até 3 dias úteis e enviamos uma primeira avaliação em até 10 dias úteis. Não divulgue o problema até ele ser corrigido e teste só com suas próprias contas e filas.

Não tomaremos medidas legais contra pesquisas que sigam estas regras de boa-fé. Não há programa de recompensa pago. O mesmo contato, legível por máquina: security.txt.