Contas
Confirmação de e-mail, senha com hash, limitação de tentativas, CAPTCHA interno e autenticação TOTP para o Administrador Master.
Negociação
O chat bloqueia contatos externos antes da contratação e mantém histórico. Valores das propostas ficam privados para concorrentes.
Documentos e arquivos
Anexos e documentos ficam fora da pasta pública e só são servidos por endpoints que verificam permissão.
Pagamentos
A chave do Asaas fica no arquivo privado de ambiente e não é enviada ao navegador ou ao repositório Git. Webhooks são validados e processados de forma idempotente.
Auditoria
Ações administrativas e alterações sensíveis são registradas para rastreabilidade.