Confiança

Os detalhes técnicos por trás da nossa página de segurança, para equipes de TI, desenvolvedores e quem estiver fazendo uma avaliação (due diligence). Tudo aqui já está em vigor hoje, salvo indicação em contrário.

Última atualização: 12 de outubro de 2026

Hospedagem e localização dos dados

• Servidores: em Londres, no Reino Unido. Eles executam a API, o conector de IA, o painel e a entrega dos sites publicados, e guardam o banco de dados das contas.
• Arquivos dos sites: guardados em armazenamento de objetos durável na UE. Esse armazenamento é a fonte oficial; os servidores de Londres mantêm apenas um cache.
• Backups do banco de dados: no mesmo armazenamento da UE, em um bucket separado com chaves separadas.
• Edge: uma rede global entrega e armazena em cache as páginas públicas perto dos visitantes.
• Fora do Reino Unido/UE: nossos serviços de login, pagamento e e-mail processam alguns dados nos Estados Unidos. As empresas estão citadas na página de suboperadores.

Rede e transporte

• Todo hostname em pagelemon.com e pagelemon.dev é servido por uma rede edge global que oferece mitigação de DDoS e TLS na borda. O HTTP simples é redirecionado para HTTPS.
• Bloqueio de origem: nossos servidores descartam requisições web que não vêm das faixas de IP publicadas da rede edge, então a origem não pode ser acessada diretamente para contorná-la.
• O trecho entre a rede edge e nossos servidores também é criptografado, com um certificado de origem.
• HSTS (6 meses, incluindo subdomínios) em pagelemon.com e nos hosts do app, da API e do conector. .dev é um domínio de topo com HSTS pré-carregado, então os navegadores só acessam os sites dos usuários por HTTPS.

Isolamento dos sites e cabeçalhos

• Domínios registráveis separados. Os sites dos usuários são servidos a partir de *.pagelemon.dev; as contas, o painel e a API ficam em pagelemon.com. Os cookies e o armazenamento de um site de usuário nunca chegam à sessão da conta.
• Content Security Policy rígida no site de marketing (scripts só da nossa própria origem, sem framing), e X-Frame-Options: DENY no painel.
• Os sites dos usuários são enviados com X-Content-Type-Options: nosniff, uma política de referrer rígida e Cross-Origin-Opener-Policy: same-origin-allow-popups. Não injetamos scripts, rastreadores nem cookies neles; o selo do plano grátis é HTML e CSS simples.
• Sites protegidos por senha e só para membros nunca ficam em caches compartilhados (Cache-Control: private, no-store) e nunca são indexados.
• Quando um site é removido por abuso, ele passa a ser servido com Clear-Site-Data, para que o navegador do visitante descarte o cache, o armazenamento e os service workers.
• As senhas de sites passam por hash com scrypt (salt aleatório por site). O cookie de desbloqueio do visitante é assinado com HMAC, HttpOnly e Secure, e mudar a senha invalida todos os cookies antigos. As tentativas de desbloqueio que falham têm limite de frequência.

Proteção dos servidores

• SSH só com chaves pessoais identificadas: login por senha e login como root estão desativados. Um firewall no host permite só tráfego SSH e web.
• Cada serviço roda no próprio contêiner como usuário não root, com sistema de arquivos somente leitura, todas as capabilities do Linux removidas, escalada de privilégios bloqueada e limites próprios de memória e de processos, para que uma falha não esgote o restante.
• Os segredos são separados por serviço: a aplicação não vê as chaves de backup, e o processo de backup não vê as chaves de login, pagamento ou e-mail.
• As chaves de armazenamento são restritas a um único bucket e travadas no endereço IP do nosso servidor. As chaves de e-mail só podem enviar.
• Cada release roda o conjunto de testes automatizados antes de ir ao ar. As imagens de release são geradas fora do servidor, e a anterior é mantida para um rollback com um único comando.
• As ações da equipe nas ferramentas de administração ficam registradas em um log de auditoria, e ações sensíveis exigem um login feito nos últimos 10 minutos.

Backups, versões e recuperação

• Backup contínuo do banco de dados: as mudanças são enviadas ao armazenamento da UE em segundos, com restauração a um ponto no tempo.
• Restaurações testadas: um simulado de restauração reconstrói o banco de dados a partir do backup e roda uma verificação de integridade. Última execução em 12 de outubro de 2026: aprovada.
• Bloqueio contra exclusão: os arquivos de sites recentes e os backups do banco de dados ficam sob um bloqueio de bucket, então não podem ser apagados, nem mesmo com as chaves do nosso próprio servidor.
• Versões imutáveis: toda publicação gera uma nova versão que não pode ser alterada; colocar no ar é só trocar um ponteiro, e voltar atrás é uma única chamada. Guardamos todas as versões por 30 dias e, depois, a última de cada semana, de 7 dias (Grátis) a 2 anos (Company), conforme o plano.
• Nenhuma edição perdida: cada publicação indica a versão de onde partiu; se outra pessoa publicou nesse meio-tempo, ela é recusada com um conflito claro, em vez de sobrescrever o trabalho da outra pessoa.
• Serve-stale: arquivos públicos publicados podem ser servidos do cache da edge por até 7 dias se nossa origem estiver fora do ar ou com erros. Sites privados nunca ficam em cache.
• Monitoramento: uma verificação externa em um servidor separado testa a API, o painel e o conector a cada 5 minutos e envia um alerta por e-mail em caso de falha. A aplicação emite alertas quando faltam arquivos armazenados.

Login e segurança da conta

O login da conta é feito por um serviço especializado de login. Hoje:

• Formas de login: código de uso único por e-mail, Google ou senha. Os endereços de e-mail são verificados com um código.
• Senhas: pelo menos 15 caracteres, verificadas contra senhas vazadas conhecidas no cadastro e de novo a cada login.
• Bloqueio da conta após várias tentativas que falham.
• Recebemos só um token de sessão assinado, verificado a cada requisição contra nossos próprios domínios. Nunca vemos nem guardamos as senhas das contas.

Sites só para membros fazem o login dos visitantes com o e-mail em app.pagelemon.com e depois entregam ao site um código de uso único para o cookie dele. Nenhum script de login roda no próprio site. Os pagamentos com cartão são feitos pelo nosso processador de pagamentos; os números de cartão nunca passam pelos nossos servidores.

Conexões de IA e tokens de API

• Os apps de IA se conectam por OAuth com PKCE (S256) e resource indicators. Os tokens de acesso duram 1 hora; os refresh tokens são trocados a cada uso, as conexões terminam após 30 dias sem uso, e reutilizar um código ou refresh token antigo revoga a conexão inteira.
• Tokens de API e tokens de site são guardados só como hashes SHA-256. Cada token tem escopos (deploy ou deploy + manage), pode ser limitado a um site, pode expirar e pode ser revogado a qualquer momento.
• Aprovação humana: convidar pessoas, remover a senha de um site, renomear e transferir um site retornam um link de aprovação que o dono da conta precisa abrir e confirmar com login feito. Um token sozinho não consegue fazer isso. Ações destrutivas têm duas etapas.
• Todo novo token ou conexão de IA aparece como um aviso nas notificações do dono da conta, no app, e geralmente também é enviado a ele por e-mail.

Verificação de uploads

• Proteção contra vazamentos: todo arquivo de texto é verificado em busca de tipos conhecidos de chaves secretas e chaves privadas. Uma correspondência bloqueia o upload inteiro e informa o arquivo e a linha.
• Pastas de controle de versão, arquivos de ambiente, pastas de dependências, source maps e arquivos de chaves são ignorados e nunca servidos.
• Os arquivos compactados são descompactados com limites de tamanho e de quantidade de arquivos durante a descompressão; links, dispositivos, caminhos absolutos e caminhos .. são rejeitados.
• Sites anônimos e do plano Grátis aceitam só arquivos web, verificados pelo conteúdo: nada de programas, instaladores ou scripts, e arquivos binários precisam ser de fato imagens, fontes, áudio, vídeo, PDF ou WebAssembly.
• Uploads sem conta são limitados por rede.

Phishing e abuso

• Nomes de site escolhidos são recusados se forem reservados, imitarem marcas de alto risco (bancos, pagamentos, transportadoras, cripto, governo, big techs), incluindo grafias parecidas, ou contiverem palavras comuns de phishing. Domínios próprios que imitam essas marcas também são recusados.
• Sites sem conta expiram depois de 72 horas e não podem ser protegidos por senha, então não podem ser escondidos da análise. Sites sem conta e sites com menos de 7 dias enviam noindex.
• Qualquer pessoa pode denunciar qualquer site em pagelemon.com/report (todo site também tem um link para lá em /_pagelemon/report e no seu security.txt); as denúncias vão para a equipe, que pode suspender um site imediatamente e banir contas. Toda ação da equipe é registrada em auditoria.
• Os plugins de site emitem um aviso e podem ser desativados se uma página colocar um campo de senha ao lado deles.

Autenticação de e-mail

• *.pagelemon.dev: MX nulo, v=spf1 -all e DMARC p=reject, para que nenhum endereço de site de usuário possa receber e-mails ou ser usado para falsificá-los.
• Os e-mails enviados em nome dos sites saem de pagelemon.dev, assinados com DKIM, sob DMARC rígido (p=reject, alinhamento estrito). Nossos próprios e-mails saem de pagelemon.com, assinados com DKIM, com DMARC p=reject, então e-mails que falsificam nossos endereços são recusados.
• Os e-mails dos sites e os nossos usam domínios separados, para que o spam de um site mal utilizado não prejudique a entrega dos e-mails de login e de cobrança.

Logs e retenção de dados

• Os logs de acesso do aplicativo, da API e dos sites publicados guardam endereços IP truncados e removem cabeçalhos de autorização, cookies, query strings e tokens secretos de links. No nosso site de divulgação, o log guarda apenas as partes ref, invite e utm_ da query string, que nos dizem qual link trouxe você. Todos os logs são renovados bem antes de 30 dias.
• Os endereços IP de quem envia sites publicados sem conta são apagados depois de 30 dias.
• Os arquivos de sites excluídos são removidos depois de 7 dias. Você pode baixar qualquer site como zip e excluir sua conta você mesmo.

Certificações

Nossa hospedagem, rede edge, login, pagamentos e e-mail são operados por provedores consolidados com certificações de segurança independentes, como SOC 2 Type II e ISO/IEC 27001, e nosso processador de pagamentos é PCI DSS Nível 1. Esses provedores operam numa escala muito maior que a do Page Lemon, então a capacidade cresce com a gente; nosso próprio plano de crescimento gradual está documentado e é acionado pela carga medida. Toda empresa que trata seus dados para nós está citada na página de suboperadores.

Ainda não feito

Preferimos contar do que deixar você descobrir:

• Public Suffix List: pagelemon.dev ainda não está na Public Suffix List. Até estar, os navegadores tratam sites vizinhos em pagelemon.dev como o mesmo site para fins de cookies. Nossas contas não são afetadas (ficam em pagelemon.com); o pedido de inclusão está sendo preparado.
• Login em duas etapas ainda não é oferecido nas contas do Page Lemon.
• O Page Lemon não tem certificação SOC 2 nem ISO 27001 própria.

Relatar uma vulnerabilidade

Envie um e-mail para support@pagelemon.com. Por favor, não acesse dados de outras pessoas, não atrapalhe o serviço e não publique detalhes antes de corrigirmos o problema. Não tomaremos medidas legais contra pesquisas de boa-fé que sigam essas regras, e daremos o crédito a você, se quiser. Nossos contatos também estão em security.txt.

Para denunciar um site perigoso, use Denunciar um site.