⚠️ NÃO abra issues públicas para vulnerabilidades de segurança.

1. Email: Envie detalhes para security@promobrindes.com.br
2. Assunto: [SECURITY] ZAPP-WEB - Breve descrição
3. Inclua:
   • Descrição da vulnerabilidade
   • Passos para reproduzir
   • Impacto potencial
   • Sugestão de correção (se tiver)

• ✅ NUNCA commitar secrets, tokens ou senhas
• ✅ Usar .env para variáveis sensíveis (já no .gitignore)
• ✅ Validar TODAS as entradas do usuário
• ✅ Usar prepared statements para SQL
• ✅ Implementar rate limiting em endpoints sensíveis
• ✅ Manter dependências atualizadas (npm audit)

• ✅ MFA/TOTP disponível para todos os usuários
• ✅ WebAuthn/Passkeys suportado
• ✅ RBAC implementado via Supabase RLS
• ✅ Sessões com expiração automática
• ✅ Geo-blocking configurado

• ✅ HTTPS obrigatório em produção
• ✅ Headers de segurança configurados
• ✅ CORS restrito a domínios autorizados
• ✅ Supabase RLS em TODAS as tabelas

Este projeto usa:

• Supabase para autenticação e banco de dados
• Evolution API para WhatsApp
• Lovable para deploy

Verifique regularmente:

npm audit
npm audit fix

xlsx é instalado via tarball fixado em cdn.sheetjs.com (não npm registry — a SheetJS parou de publicar lá após 0.18.5). A versão 0.20.3 é a última release Community Edition (Apache-2.0) gratuita da SheetJS; qualquer CVE futuro no xlsx não tem correção gratuita garantida — o patch, se vier, pode sair só via SheetJS Pro (pago). Rodar npm audit/bun audit periodicamente e, se aparecer uma vulnerabilidade nova em xlsx, avaliar substituir a lib (não presumir que existe upgrade gratuito disponível).

• Responsável: Joaquim
• Email: security@promobrindes.com.br
• Resposta: Dentro do SLA acima

🛡️ Segurança é responsabilidade de todos.