Segurança e privacidade

As garantias em uma página só — o que o Plenus não consegue fazer, mesmo que quisesse.

Esta página reúne, num lugar só, o que costuma ser perguntado por quem administra o servidor antes de autorizar a instalação. Nada aqui é novidade em relação ao resto da documentação — é o mesmo assunto, reunido para ser lido de uma vez.

O princípio é este: as garantias que valem são as que não dependem de nós cumprirmos uma promessa. Sempre que possível, quem impõe o limite é o seu Postgres ou a sua rede, não a nossa disciplina.

O agente não consegue escrever no seu ERP

Não porque ele evita — porque o banco recusa.

O usuário que o agente usa é criado por você, com default_transaction_read_only, e toda transação dele nasce somente leitura. Uma escrita não é bloqueada por uma verificação nossa: ela é recusada pelo Postgres.

Mais: ao se instalar, o agente tenta escrever de propósito. Se conseguir, ele para e não completa a instalação. Uma permissão concedida a mais por engano vira uma instalação que falha, e não um risco que ninguém notou.

Como criar o usuário

Nada de fora alcança o servidor da loja

Todo o tráfego é de saída. O agente não escuta em porta nenhuma, não exige porta aberta no firewall, não precisa de IP fixo nem de VPN.

Não existe endereço pelo qual alguém — nós inclusive — alcance o servidor da loja. Requisitos de rede

O agente não aceita consultas

Ele não é um túnel para o seu banco. Não há caminho pelo qual um pedido vindo de fora se transforme numa consulta arbitrária no ERP: o agente lê o que já está definido e envia. Comprometer o Plenus não daria a ninguém acesso de leitura ao seu banco.

O que sai da loja, e o que não sai

A senha do banco fica no servidor da loja e nunca sobe. Onde ela apareceria — na saída do comando de conferência — ela aparece mascarada; nos registros do agente, nunca aparece.

O espelho não é um backup do seu ERP e não serve como um. O que entra nele

Um cliente não alcança o outro

Cada fonte fica em espaço isolado. Duas redes nunca compartilham tabela — não é uma questão de filtrar corretamente na hora de responder: não há o que encontrar do lado do vizinho.

Dados pessoais

Um consultor externo não recebe nomes de pessoas físicas. A carteira de crediário chega a ele agregada.

E não se trata de esconder na tela: o dado que ele não pode ver não é enviado ao navegador dele. Ocultar na interface algo que já viajou até o cliente não é privacidade. Papéis e dados pessoais

Acesso das pessoas

• Ninguém define a senha de outra pessoa. O convite vai por link, e cada um escolhe a sua.
• Um administrador reenvia links, nunca senhas.
• Se alguém pedir a senha de um usuário, a resposta certa é reenviar o convite.

Atualizações do agente

O agente se atualiza sozinho — e é justamente por isso que ele confere três coisas antes de trocar de versão: que ela é mais nova, que o arquivo chegou íntegro e que foi mesmo assinada pelo Plenus. Falhando qualquer uma, ele não atualiza e segue rodando a versão atual.

Como funciona a atualização

Encerrar

Desinstalar o agente é um comando, e ele para de ler na hora. Comandos do agente