Segurança

• Admin e portal first-party usam sessões cookie Sanctum no same origin
• Proteção CSRF para mutações autenticadas por cookie
• Credenciais não são guardadas em localStorage
• MFA inclui TOTP, email OTP e recovery codes
• Administradores devem ativar TOTP; em produção deve ser obrigatório
• Ações sensíveis (revelar IBAN, rodar credenciais, mark paid) exigem step-up

Sanctum + MFA + step-up· implementado

• Identidades de integração separadas dos utilizadores humanos
• HMAC sobre timestamp.nonce.rawBody com comparação constant-time
• Unicidade de nonce e limites de skew de timestamp
• Create/rotate de credenciais exige step-up recente

• Autorização com âmbito de business nas APIs admin
• Payloads de pagamento encriptados em repouso; APIs expõem máscaras por omissão
• Documentos privados só para sessões autorizadas após scan limpo
• Payouts de referrer exigem MFA enrolada

• Terminar TLS; ativar HSTS na edge
• Definir AACT_ADMIN_TOTP_REQUIRED=true
• Restringir TRUSTED_PROXIES
• Usar scanner real em produção (perfil clamav), não fake
• Rodar segredos de integração e backups de APP_KEY com cuidado

Siga SECURITY.md no repositório: contacte o maintainer em privado para issues que exponham credenciais, dados pessoais ou RCE. Não abra issues públicas para essas classes.