Seguranca e confianca
Recalculamos cada lancamento do zero. Reconciliou em zero.
A confianca em infraestrutura financeira precisa ser conquistada com evidencias. Aqui estao as nossas: uma auditoria independente do livro-razao bruto, as invariantes que mantemos, nossa postura de seguranca e um relato franco do que ainda nao esta pronto para producao.
A auditoria independente
Nao o verificador do proprio software, as tabelas brutas.
Em 2026-08-18 os livros foram recalculados diretamente a partir dos registros brutos do banco de dados, deliberadamente contornando o verificador interno do sistema (um verificador e o codigo que ele verifica podem compartilhar o mesmo ponto cego). Cada verificacao de conservacao, reconciliacao, autorizacao e ciclo de vida retornou zero excecoes.
Auditoria SQL independente, 2026-08-18. As verificacoes de conservacao, reconciliacao, autorizacao e ciclo de vida retornaram zero em 5 livros-razao.
Saldos em cache vs. saldos recalculados a partir do historico completo. Desvio absoluto total: 0.
Registros de dominio reconciliados com os lancamentos do livro-razao em contagem e valor. Zero concessoes ausentes, duplicadas ou nao positivas.
Benchmark sintetico, host unico, arquitetura de livro-razao dividido (2026-08-14). Um pagamento e autorizacao mais captura. As invariantes de correcao se mantiveram do inicio ao fim.
O que foi verificado, em 5 livros-razao
- 2,284,416 transacoes, zero desbalanceadas, zero lancamentos de perna unica.
- Balancete exatamente zero em ambas as moedas, em todos os livros-razao.
- 7,463 contas, saldos em cache coincidiram com o recalculo do historico completo com zero desvio.
- A projecao de relatorios reconciliou lancamento por lancamento entre dois bancos de dados (5,454,688 = 5,454,688).
- 1,394,739 concessoes de recompensa bateram com o livro-razao em contagem e valor, zero ausentes, duplicadas ou nao positivas.
- 22,028 reivindicacoes de limite, zero limites excedidos; zero contas alem do piso.
Uma constatacao, divulgada: os reembolsos sao registrados como lancamentos de contrapartida com uma referencia em vez de por vinculacao de reversao, entao a maquinaria de reversao fica sem exercicio. Uma lacuna de documentacao, nao um defeito, e agora documentada.
Garantias
Propriedades que o sistema mantem por design.
Balanceado por construcao
Cada transacao grava lancamentos que somam zero por moeda. O balancete em todos os livros-razao e exatamente zero, em cada moeda.
Repeticao idempotente
Cada chamada de movimentacao financeira carrega uma chave de idempotencia e repete byte a byte. N duplicatas concorrentes movem dinheiro exatamente uma vez.
Limites que aguentam sob carga
Totais de reembolso, velocidade de envio e limites de recompensa sao reivindicados dentro da transacao de lancamento. Oito envios contra um limite de cinco resultam em exatamente cinco.
Faturamento no maximo uma vez
As cobrancas de assinatura derivam sua chave de idempotencia do periodo, entao uma tempestade de novas tentativas nao pode cobrar em dobro.
Postura de seguranca
Endurecido onde importa.
Credenciais, containers e superficies de pagamento sao construidos para reduzir o raio de impacto, e cada correcao das nossas revisoes adversariais carrega um teste de regressao.
- Dados de cartao nunca tocam a plataforma, escopo PCI mantido em SAQ-A, recargas passam pelos proprios campos do processador.
- Chaves de API com hash Argon2id e exibidas exatamente uma vez; tokens de usuario RS256 de curta duracao com rotacao JWKS ao vivo, sem reinicio.
- Comparacoes de credenciais em tempo constante, limites de 1 MiB no corpo da requisicao, SQL parametrizado por toda parte.
- Alvos de webhook sao verificados contra SSRF: apenas hosts publicos, sem seguir redirecionamentos.
- Containers sao distroless, sem root, sistema de arquivos raiz somente leitura, todas as capabilities do Linux removidas.
- Duas revisoes de seguranca adversariais documentadas, cada correcao carregando um teste de regressao.
A parte franca
O que ainda nao esta pronto para producao.
Estamos em pre-producao, e dizemos isso de forma registrada. Se um fornecedor nao lhe conta suas lacunas, ou ele nao as conhece ou nao vai compartilha-las. Aqui estao as nossas.
- Este e um lancamento em acesso antecipado. A plataforma ainda nao movimentou dinheiro real de clientes.
- Todos os numeros de desempenho e reconciliacao vem de carga sintetica em um host unico, nao de trafego de producao.
- A entrada de dinheiro ao vivo passa pelo Stripe hoje; os repasses a comerciantes sao executados em um trilho manual com referencias registradas.
- A limitacao de taxa e atualmente por IP; a propagacao de identidade por inquilino esta em andamento.
- Endurecimento em curso antes da disponibilidade geral: armazenamento gerenciado de chaves (KMS), implantacao de identidade em producao, seguranca em nivel de linha no banco de dados e backup e recuperacao point-in-time exercitados.
Compartilhamos o backlog detalhado de endurecimento e o relatorio de auditoria com parceiros de design sob NDA.
Acesso antecipado
Coloque os livros a prova.
Traga sua pergunta de reconciliacao mais dificil. Preferimos conquistar sua confianca com evidencias a com um deck de vendas.