1. Controles presentes na plataforma
A ClownPay utiliza comunicação HTTPS, sessões autenticadas e verificação de permissões para proteger o acesso aos recursos. As senhas são tratadas com hash, e o produto oferece autenticação em duas etapas por aplicativo autenticador.
Ações sensíveis podem exigir uma confirmação adicional de identidade. Credenciais de API têm gerenciamento próprio, e o acesso a documentos cadastrais passa por controles específicos, com armazenamento privado.
Registros de eventos e operações apoiam a rastreabilidade. Esses controles reduzem riscos, mas não representam garantia de invulnerabilidade, certificação independente ou ausência de incidentes.
2. Como proteger sua conta
- Use uma senha exclusiva e proteja também o e-mail associado à conta.
- Ative a autenticação em duas etapas e mantenha o aplicativo autenticador protegido.
- Não compartilhe códigos temporários, links de recuperação ou sessões abertas.
- Confira o endereço do site antes de entrar. Acesse o painel em app.clownpay.com.br.
- Em dispositivos compartilhados, encerre a sessão ao terminar e evite salvar credenciais.
3. Cuidados com chaves e integrações
Mantenha chaves de API no servidor da sua aplicação. Não as coloque em páginas públicas, repositórios, mensagens, capturas de tela ou ferramentas de análise acessíveis a terceiros.
Revogue credenciais que não utiliza mais ou que possam ter sido expostas e atualize a integração com uma credencial válida. Conceda somente as permissões necessárias ao uso previsto.
Ao receber webhooks, siga a documentação para validar a origem e tratar eventos repetidos. Não use apenas o retorno visual de um checkout como confirmação de uma transação.
4. Suspeita de acesso indevido ou fraude
Se identificar acesso ou operação que não reconhece, procure o suporte pelo canal oficial. Informe quando percebeu o problema e quais recursos parecem afetados, sem incluir segredos de autenticação.
Se ainda tiver acesso seguro, altere a senha, proteja o e-mail e revogue credenciais de integração expostas. Evite seguir instruções recebidas de contatos que pedem códigos de segurança ou pagamento para recuperar a conta.
Uma solicitação ao suporte não confirma o cancelamento de uma operação em andamento. A equipe precisa verificar a situação e as medidas possíveis para cada caso.
5. Relato responsável de vulnerabilidade
Encontrou uma possível falha? Envie a descrição para [email protected] com o assunto “Segurança — vulnerabilidade”. Informe a página ou recurso afetado, os passos mínimos de reprodução e o impacto observado, com evidências sem dados pessoais ou credenciais.
Interrompa a atividade caso encontre dados de terceiros. Não extraia informações, altere transações, prejudique a disponibilidade ou amplie o acesso. Prefira exemplos em sua própria conta e com dados de teste.
Este canal recebe relatos; sua existência não autoriza testes invasivos, exploração em contas alheias ou testes com movimentação financeira real. Não há promessa de recompensa financeira ou de prazo fixo de correção nesta página.