Política de Segurança

Controles implementados

• Senhas derivadas com PBKDF2 e salt individual; sessões em cookies HttpOnly e SameSite.
• Autorização server-side por papéis e verificação de propriedade dos registros.
• Documentos e dados financeiros sensíveis em armazenamento privado.
• Segredos do provedor mantidos no servidor e valores financeiros em centavos inteiros.
• Idempotência de checkout e webhook, trilha de auditoria e reconciliação de status.
• Headers de segurança, proteção contra enquadramento e política restritiva de recursos do navegador.

Responsabilidade compartilhada

Usuários devem usar senha exclusiva, proteger o dispositivo, desconfiar de solicitações de código e encerrar sessões em equipamentos compartilhados. A CactusPay nunca solicita senha ou chave Pix por mensagem.

Suspeitas de vulnerabilidade ou acesso indevido devem ser informadas pelo canal de suporte, sem exploração adicional, exposição pública de dados ou interrupção do serviço.