EnergiaWATT

Segurança

Última atualização: 27/09/2026

Esta página descreve, sem exagero, o que o EnergiaWATT faz hoje para proteger a sua conta e os seus dados de uso. Ela serve para a área de TI ou de compras da sua empresa. Dúvidas ou um questionário de segurança para responder? Fale com a equipe.

Senhas

  • Guardamos só o hash da senha, com bcrypt (fator de custo 12). Ninguém da equipe consegue ler a sua senha.
  • A senha precisa ter pelo menos 12 caracteres.
  • "Esqueci minha senha" manda um link de uso único que vale 1 hora. O banco guarda só o hash do link, e a resposta é a mesma exista ou não a conta, para não revelar quem é cliente.
  • Depois de erros seguidos de senha, o acesso é travado por um tempo, por conta e por endereço IP. As tentativas ficam registradas, e o administrador recebe um aviso quando há muitas.

Sessões

  • A sessão fica num cookie httpOnly (o JavaScript da página não o lê) e SameSite=Lax. É o único cookie da plataforma: não usamos cookies de publicidade nem de rastreamento.
  • O cookie leva um código aleatório; o banco guarda só o hash dele.
  • A sessão cai depois de 7 dias sem uso e, em qualquer caso, depois de 30 dias.
  • Em Minha conta você vê as sessões abertas (aparelho, IP e último uso) e pode encerrar qualquer uma. Trocar a senha encerra as outras sessões.

Chaves de API

  • A chave aparece uma única vez, quando é criada. O banco guarda só o hash; se você perder a chave, gera outra.
  • Cada chave pode ser revogada a qualquer momento e tem limite de 1.000 requisições por dia.

Registro de acesso e monitoramento

  • Registramos os acessos à conta (login, painéis abertos, downloads e uso da API), com data, IP e aparelho, como pede o Marco Civil da Internet. Os prazos de guarda estão na política de privacidade.
  • O administrador recebe avisos automáticos de sinais de conta compartilhada (vários IPs e aparelhos), de volume anormal de download, de tentativas de senha em massa e de falha na coleta dos dados.

Aplicação

  • Cabeçalhos de segurança em todas as páginas: Content-Security-Policy, X-Frame-Options (a plataforma não abre dentro de outro site), X-Content-Type-Options, Referrer-Policy e Permissions-Policy. Em produção, HSTS.
  • Formulários e ações da conta só aceitam pedidos vindos do próprio site.
  • Os arquivos CSV que a plataforma gera neutralizam células que o Excel executaria como fórmula.
  • Os dados de uma conta (carteira, alertas, chaves) só são entregues a ela: as respostas com dado pessoal não ficam em cache compartilhado.

Cópias de segurança

  • A rotina de cópia do banco (pg_dump) roda na agenda diária da plataforma e guarda as 7 cópias diárias mais recentes e 4 semanais.
  • A cópia mais recente é conferida com o pg_restore (o arquivo precisa abrir e listar o conteúdo), não só pela existência do arquivo.

O que ainda não temos

Para você decidir com a informação completa: o EnergiaWATT ainda não tem certificação de segurança (como ISO 27001 ou SOC 2), não passou por teste de invasão feito por empresa externa e não oferece login único corporativo (SSO) nem autenticação em dois fatores. Se algum desses itens for exigência da sua empresa, diga na conversa comercial.

Seus dados pessoais

O que coletamos, para quê, por quanto tempo e como exercer os seus direitos (acesso, correção, exclusão, oposição) está na política de privacidade. E-mails comerciais têm link de descadastro em todos eles.