Segurança e dados

API keys

O segredo completo aparece somente durante a criação. O banco armazena um hash SHA-256 e um identificador público. A autenticação usa comparação constante e chaves revogadas deixam de funcionar imediatamente.

Use uma chave por cliente e revogue credenciais que não são mais necessárias.

Dados enviados

O servidor recebe os argumentos das tools que o agente escolhe chamar. Eventos operacionais registram tenant, chave, nome da tool, resultado, duração e horário. Segredos, cabeçalhos de autorização e conteúdo integral das requisições não devem aparecer nos logs.

Isolamento

Chaves, uso e consultas do dashboard são filtrados pelo usuário autenticado. O painel administrativo exige uma role explícita no Clerk e suas ações ficam registradas em auditoria.