# Defesa em profundidade, camada por camada. - URL canónico: https://www.broadnet.me/pt/security/architecture - Idioma: pt - Última atualização: 2026-10-19 - Editor: BroadNet (https://www.broadnet.me) - Versão Markdown da página, gerada a partir da página publicada. Arquitetura de segurança Uma visão geral de alto nível de como a plataforma de mensagens da BroadNet está estruturada — da borda da API às interconexões com as operadoras — para que a segurança seja aplicada em todas as camadas, e não adicionada apenas no perímetro. Esta visão geral é propositalmente não confidencial: ela mostra o formato da pilha, não a sua topologia interna. Camadas da plataforma Monitorização transversal Encriptação em trânsito (TLS 1.3) e em repouso (AES-256) em toda a extensão · esquemático, não topológico ## As camadas, em termos simples. 1 ### Aplicações e canais do cliente As suas aplicações e campanhas se conectam por meio de interfaces documentadas e versionadas. Nenhuma informação de um locatário subsequente é exposta a outro. 2 ### Gateway de API e SDK A borda pública. Tokens de acesso Bearer por conta autenticam cada solicitação à API; limitação de taxa por locatário, listas de permissão de IP e um firewall de aplicações da web (WAF) automatizado ficam à frente da plataforma. 3 ### Plataforma de mensagens Processamento multi-inquilino com isolamento por inquilino, enfileiramento durável e orquestração de entrega. As ações que alteram o estado são registadas em logs de auditoria. 4 ### Inteligência de encaminhamento O encaminhamento baseado no menor custo e na qualidade seleciona um caminho legal e em conformidade com as normas para cada destino, com deteção de rotas alternativas e redefinição do ponto de referência caso uma rota se degrade abaixo do seu objetivo de serviço. 5 ### Segurança e firewall Defesas de nível de telecomunicações — firewall SMS, firewall SS7, proteção de ID do remetente, análise de chamadas instantâneas e abuso de OTP — aplicadas por predefinição às rotas da BroadNet. 6 ### Interconexões de operadoras Mais de 1.000 conexões diretas com operadoras garantem ligações diretas em 86 países, com rotas de parceiros identificadas no restante dos 200+ países alcançados, portanto o tráfego termina em rotas legítimas e contratadas. ## Cinco planos defensivos, em profundidade. As camadas numeradas acima descrevem o caminho que uma mensagem percorre. Esses cinco planos descrevem os controlos que atuam em cada ponto desse caminho — cada um projetado de forma que uma falha num plano seja contida pelo próximo. Avião 01 ### Borda e rede A borda pública encerra o TLS 1.3, absorve abusos volumétricos e valida se uma solicitação está bem formada antes mesmo de chegar à lógica da aplicação. Nada a jusante confia na rede pela qual chegou. - Limitação de taxa por locatário e por ponto de extremidade com controlos de rajada - Opções de lista de permissões de IP e TLS mútuo para vinculações SMPP e API - Firewall de aplicação web (WAF) automatizado que filtra padrões comuns de injeção e abuso - Absorção de DDoS e eliminação de anomalias no nível da conexão na borda Avião 02 ### Aplicação e identidade Cada solicitação é autenticada e autorizada individualmente. Tokens de acesso Bearer por conta estabelecem a identidade; funções com âmbito definem o que essa identidade pode fazer; a multilocação é imposta por código, não por convenção. - Tokens de acesso Bearer por conta para a API; tokens de curta duração para sessões interativas - Controlo de acesso baseado em funções com âmbitos padrão de privilégio mínimo - Isolamento por inquilino, para que nenhum inquilino possa aceder aos dados de outro inquilino - Webhooks encriptados com TLS para DLR e MO de entrada Avião 03 ### Dados e armazenamento O conteúdo das mensagens, os metadados de entrega e os registos de auditoria são mantidos encriptados em repouso, com um período de retenção que corresponde aos prazos contratuais e regulamentares. As ações que alteram o estado das mensagens são registadas numa pista de auditoria somente para acréscimo. - Encriptação AES-256 em repouso em armazenamentos primários e backups - Registo de auditoria somente de acréscimo (append-only) das ações que alteram o estado - Períodos de retenção de dados alinhados ao contrato e à regulamentação regional - Cópias de segurança encriptadas e testadas em relação aos objetivos de recuperação definidos Avião 04 ### Gestão chave As chaves são geradas, armazenadas, rotacionadas e descartadas dentro de uma infraestrutura dedicada de gestão de chaves. O código da aplicação contém referências, não o material bruto da chave, e a rotação não requer interrupção do serviço. - Gestão centralizada de chaves com separação dos segredos da aplicação - Rotação programada de chaves e revogação imediata em caso de suspeita de comprometimento - Separação de funções para custódia de chaves e acesso administrativo - Encriptação de envelope para que as chaves de dados sejam protegidas por chaves mestras Avião 05 ### Monitorização e resposta A observabilidade abrange toda a pilha, em vez de um único ponto de estrangulamento, permitindo a deteção de anomalias perto de onde ocorrem. Um NOC (Centro de Operações de Rede) 24 horas por dia, 7 dias por semana, acopla a deteção a um processo documentado de resposta a incidentes. - NOC 24 horas por dia, 7 dias por semana, com alertas em toda a borda, plataforma, encaminhamento e interconexões - Análise de rotas cinzentas, abuso de ID do remetente e abuso de OTP no tráfego em tempo real - Resposta documentada a incidentes com classes de gravidade e escalonamento nomeado - Análise de causa raiz (RCA) e relatório de motivo da interrupção (RFO) após incidentes relevantes ## Controlos, mapeados para padrões. Um mapeamento representativo de cada camada para as famílias de controlo nas normas ISO/IEC 27001, SOC 2 e ISO 22301. É meramente ilustrativo e não constitui a declaração completa de aplicabilidade. O conjunto de controlos auditado é partilhado sob acordo de confidencialidade. | Layer | Controlos representativos | Norma de referência | |---|---|---| | Borda e rede | TLS 1.3, WAF, limitação de taxa por locatário, lista de permissões de IP, absorção de DDoS | ISO 27001 A.8 · SOC 2 CC6.6 | | Aplicação e identidade | Autenticação da API por token Bearer, RBAC de privilégio mínimo, isolamento por locatário | ISO 27001 A.8 / A.9 · SOC 2 CC6.1–CC6.3 | | Dados e armazenamento | Encriptação AES-256 em repouso, logs de auditoria somente para anexação, janelas de retenção, backups encriptados | ISO 27001 A.8 · SOC 2 CC6.1 / C1.1 | | Gestão de chaves | KMS centralizado, rotação programada, revogação, segregação de funções | ISO 27001 A.8.24 · SOC 2 CC6.1 | | Monitorização e resposta | NOC 24 horas por dia, 7 dias por semana, telemetria entre camadas, IR documentado, RCA/RFO | ISO 27001 A.5.24–A.5.28 · SOC 2 CC7.2–CC7.4 | | Continuity | Cópias de segurança, objetivos de recuperação testados, gestão de continuidade de negócios | ISO 22301 · SOC 2 A1.2 | As normas mapeadas fazem referência à ISO/IEC 27001:2022 Anexo A, aos Critérios de Serviços de Confiança SOC 2 e à ISO 22301. Consulte [Conformidade](https://www.broadnet.me/pt/compliance) para a lista de certificação e [Centro de Confiança](https://www.broadnet.me/pt/trust) Para solicitar provas. ## Encriptação e gestão de chaves. A encriptação só é tão forte quanto a forma como as suas chaves são geridas. Os dados são protegidos em trânsito e em repouso, e as chaves que os protegem residem em infraestrutura dedicada — separada do código da aplicação e dos próprios dados. ### Em trânsito TLS 1.3 em todas as interfaces externas — API, SMPP e webhooks — com conjuntos de cifras modernos e opções de fixação de certificado para conexões corporativas. ### Em repouso Encriptação AES-256 em todos os armazenamentos primários e backups. O conteúdo das mensagens e os metadados de entrega incluem janelas de retenção alinhadas ao contrato e à regulamentação regional. ### Ciclo de vida das chaves Gestão centralizada de chaves com rotação programada, revogação imediata, segregação de funções e encriptação de envelope, de forma que as próprias chaves de dados sejam protegidas por chaves mestras. ## Modelo de ameaças e defesa em profundidade. A defesa em profundidade significa que nenhum controlo isolado é suficiente por si só. Para cada objetivo realista de um atacante, mais de uma aeronave precisa falhar antes que haja impacto. ### Roubo de credenciais ou chave API exposta Âmbitos de privilégio mínimo limitam o raio de impacto; tokens de curta duração e revogação imediata reduzem a janela de oportunidade; o isolamento por locatário impede a movimentação lateral para outro locatário. ### Injeção de rota cinza e falsificação de ID do remetente O firewall de SMS e a proteção de ID do remetente classificam e descartam o tráfego ilegítimo antes que ele seja finalizado; as interconexões diretas com a operadora garantem que o tráfego legítimo chegue às rotas contratadas. ### Abuso OTP / inflação artificial do tráfego A análise comportamental e a deteção de abuso de flash call /OTP contêm padrões inflados na velocidade da linha, antes que possam ser monetizados. ### Ataques na camada de sinalização (SS7) O firewall SS7 inspeciona e filtra a sinalização para se defender contra rastreio de localização, interceção e tentativas de fraude na camada de rede. ### Exposição de dados em trânsito ou em repouso O TLS 1.3 protege os dados em trânsito e o AES-256 protege os dados em repouso; as chaves ficam armazenadas numa infraestrutura dedicada de gestão de chaves, separada dos dados que protegem. ### Uso indevido por pessoas internas ou administrativas O controlo de acesso baseado em funções, a separação de responsabilidades para a custódia de chaves e o registo de auditoria somente para acréscimo tornam as ações privilegiadas passíveis de responsabilização e revisão. ### Monitorização em todas as camadas A observabilidade e a monitorização 24 horas por dia, 7 dias por semana, abrangem toda a pilha, em vez de ficarem concentrados num único ponto crítico, permitindo a deteção de anomalias perto de onde elas ocorrem. As ferramentas específicas e os limites de alerta são partilhados com os avaliadores sob acordo de confidencialidade. ### Encriptação completa O TLS 1.3 protege os dados em trânsito e o AES-256 protege os dados em repouso em todas as camadas. Detalhes específicos sobre gestão de chaves e controlos estão disponíveis mediante acordo de confidencialidade — consulte as certificações para obter informações sobre o âmbito auditado. Detalhes de controlo certificados, localização dos data centers, objetivos exatos de recuperação e topologia interna são cobertos pelo âmbito auditado da BroadNet e partilhados sob acordo de confidencialidade. Consulte [ISO/IEC 27001](https://www.broadnet.me/trust/iso-27001) e [ISO 22301](https://www.broadnet.me/trust/iso-22301). ## Onde isso se conecta. Esta visão geral representa a perspetiva arquitetónica. As evidências, certificados e compromissos operacionais que a sustentam estão disponíveis na Central de Confiança e nas páginas de Conformidade e Segurança. [Trust Center Certificados, subcontratados e pedidos de comprovação.](https://www.broadnet.me/pt/trust) [Conformidade ISO 27001 / 9001 / 22301 e estruturas regionais.](https://www.broadnet.me/pt/compliance) [Controlos de segurança O conjunto completo de controlo por trás dessa arquitetura.](https://www.broadnet.me/pt/security) [Suporte e SLA Classes de gravidade, escalonamento e processo de análise da causa raiz (RCA).](https://www.broadnet.me/pt/support-sla) ## Perguntas frequentes. **Esta é a arquitetura de segurança completa?** Não. Esta página é uma visão geral deliberadamente não confidencial: ela mostra o formato da pilha e os controlos em cada camada, não a topologia interna, a localização dos data centers ou os objetivos exatos de recuperação. Detalhes de controlo certificados são partilhados com avaliadores sob acordo de confidencialidade e cobertos pelo âmbito auditado da BroadNet. **Segundo quais normas a plataforma é certificada?** A BroadNet possui as certificações ISO/IEC 27001 (segurança da informação), ISO 9001 (qualidade) e ISO 22301 (continuidade de negócios). A tabela de mapeamento de controlos nesta página relaciona controlos representativos às famílias de controlos ISO 27001, SOC 2 e ISO 22301, permitindo que os avaliadores visualizem o alinhamento de cada camada. **Como a encriptação é tratada em trânsito e em repouso?** O TLS 1.3 protege os dados em trânsito e o AES-256 protege os dados em repouso, tanto nos armazenamentos primários quanto nos backups. As chaves são geradas, armazenadas, rotacionadas e descartadas numa infraestrutura dedicada de gestão de chaves, utilizando encriptação de envelope, de forma que as próprias chaves de dados sejam protegidas por chaves mestras. **Você aplica os seus próprios firewalls SMS e SS7 ao tráfego BroadNet?** Sim. As defesas de nível de telecomunicações — firewall SMS, firewall SS7, proteção de ID do remetente e análise de abuso de OTP — são aplicadas às rotas da BroadNet por predefinição, e não são oferecidas apenas como um complemento para redes de terceiros. **Como faço para solicitar os detalhes do controlo auditado?** Os detalhes de controlo nomeados, a localização dos data centers, os objetivos exatos de recuperação e a topologia interna são partilhados com avaliadores qualificados sob acordo de confidencialidade. Comece pela Central de Confiança ou pela página de Conformidade, ou entre em contacto com a equipa de segurança para solicitar o pacote de documentação. [Voltar ao Centro de Confiança](https://www.broadnet.me/pt/trust) [Controlos de segurança completos](https://www.broadnet.me/pt/security)