Como os registros ficam seguros

Toda tabela tem segurança em nível de linha. Não se confia ao aplicativo a decisão de quem pode ver um registro: quem decide é o Postgres, a cada consulta, de acordo com a paróquia e a função do usuário conectado. Um erro numa página não consegue ampliar o que essa página pode ler.

Nada pode ser lido sem entrar. O pouco que um visitante pode fazer (buscar no diretório de paróquias, abrir um convite, ler o site publicado de uma paróquia) passa por funções que devolvem só aquilo de que essa tarefa precisa, e a busca no diretório é limitada a vinte resultados.

As gravações nos livros, nas anotações, nas retificações e no registro de auditoria acontecem só por meio de funções definidas no banco de dados. Não existe nenhum caminho pelo qual o aplicativo, ou uma pessoa usando as credenciais dele, insira dados diretamente nessas tabelas.

Anotações e retificações só podem ser acrescentadas: não existe para elas nenhuma regra de alteração ou exclusão, então não há privilégio capaz de reescrevê-las. Retificar um assento e registrar a retificação são uma única transação. Se o histórico não puder ser gravado, a edição não acontece. Um assento nunca é excluído definitivamente: ele é marcado e mantido.

O mesmo vale para o registro de auditoria e para toda ação administrativa que a equipe do Biblori realize em seu nome. Cada entrada traz quem agiu e quando, e nunca é sobrescrita.

Quando outra paróquia precisa saber se você tem o registro do batismo de alguém, ela recebe um atestado extraído do seu assento, nunca uma cópia do seu livro e nunca acesso a ele. Nenhuma paróquia lê o livro da outra. Os administradores diocesanos veem as paróquias da respectiva diocese e nada além disso.

Uma paróquia pode baixar a qualquer momento, nas suas configurações, tudo o que guarda no Biblori: cada livro de registro como planilha e impresso como os livros são pautados, com as anotações na margem; as pessoas e famílias; as turmas de catequese, suas listas e frequência; as certidões emitidas; as intenções de missa. Os arquivos abrem em qualquer planilha ou leitor de PDF, sem o Biblori. Uma diocese pode baixar todas as suas paróquias de uma vez.

O arquivo é montado quando é pedido, entregue por um link que vale quinze minutos e apagado do nosso armazenamento em menos de um dia.

As fotografias das páginas dos livros ficam num repositório privado que nunca é de leitura pública. O aplicativo fornece links de curta duração assinados pelo servidor, e só os membros da equipe paroquial que podem escrever registros conseguem abri-los, não todos os que podem ler o livro. Uma página que você fotografa e da qual nunca salva um registro é apagada em até um dia por uma tarefa programada.

A passagem para o celular (escanear um código na tela e fotografar com o seu celular) guarda os códigos de pareamento em forma de hash, nunca em texto puro, e cada código só pode ser usado uma vez. O escâner é opcional: uma paróquia que prefira não enviar imagens dos livros a um provedor de IA digita os assentos e não perde mais nada. O aviso de privacidade informa qual é o provedor.

A equipe entra com senha, com o Google ou com um link enviado ao seu e-mail, por meio do Supabase Auth. As sessões são tokens de curta duração renovados a cada solicitação, e um acesso removido deixa de valer na seguinte. Qualquer pessoa pode acrescentar uma segunda etapa, um código de um aplicativo autenticador no celular, com códigos de recuperação de uso único caso perca o celular; uma diocese pode exigi-la da equipe de suas paróquias.

Os sistemas parceiros que gravam no Biblori (os aplicativos de preparação para o matrimônio e de formação que alimentam a caixa de entrada) assinam cada solicitação com um HMAC de segredo compartilhado sobre o corpo da solicitação e um carimbo de data e hora; a solicitação é rejeitada após cinco minutos e a comparação é feita em tempo constante. Os eventos de pagamento da Stripe têm a assinatura digital verificada e são desduplicados antes de afetarem qualquer assinatura do serviço.

O banco de dados, a autenticação e o armazenamento de arquivos ficam no Supabase, numa região dos Estados Unidos, criptografados em repouso e em trânsito pelo provedor. O aplicativo roda na Vercel. Dados de cartão e de conta bancária vão direto para a Stripe e nunca passam pelo Biblori.

As credenciais de serviço ficam só na configuração do servidor. A chave capaz de contornar a segurança em nível de linha é usada em dois arquivos do servidor e nunca é enviada a um navegador. Toda página é servida com segurança de transporte estrita e se recusa a ser incorporada por outro site. Toda alteração no código é verificada quanto a erros de tipo, testes que falham e dependências com vulnerabilidades conhecidas.

Supabase e Vercel têm, cada um, seu próprio relatório SOC 2 Tipo II, e a Stripe é uma prestadora de serviços PCI DSS Nível 1. Uma diocese que esteja avaliando fornecedores pode receber esses relatórios: escreva para nós e os enviaremos junto com um questionário de segurança preenchido.

Nenhuma análise de tráfego, nenhum rastreador, nenhum script de terceiros em nenhuma página, inclusive nos sites paroquiais. Nada de publicidade e nada de criação de perfis de paroquianos. Não lemos o seu e-mail nem a sua agenda: entrar com o Google nos dá a sua identidade e nada mais. E, como dizem os termos, nunca vamos reter um livro ou uma certidão por causa de uma cobrança: o software não tem nenhum mecanismo para isso.

Se encontrar uma vulnerabilidade, escreva para hello@biblori.com contando o que encontrou e como reproduzi-la. Confirmaremos o recebimento em até dois dias úteis. Por favor, não faça testes com os registros de uma paróquia real: para isso existem as paróquias de demonstração do tour.