Visão geral da segurança da plataforma TrekMail

O TrekMail protege sua conta e seus dados de e-mail com medidas padrão da plataforma. Use esta visão geral para entender os controles visíveis no produto.

Controles de segurança gerenciados por você

• Verificação de e-mail: contas novas verificam o endereço de e-mail. O envio fica indisponível até que o requisito de verificação da conta seja concluído. Alterar o e-mail da conta reinicia a verificação.
• Autenticação de dois fatores (TOTP) para entrar na conta.
• Acesso baseado em função por meio da titularidade da conta e de permissões de administrador, quando disponíveis.
• Políticas de senha e fluxos de gerenciamento de senhas para contas e caixas de correio, incluindo o portal de alteração de senha da caixa.
• Tokens de API com escopos, restrições de domínio e datas de expiração configuráveis. Copie o novo token quando ele for exibido e mantenha-o privado.
• Senhas de dispositivos do Drive (sincronização): use uma senha separada e limitada para cada aplicativo ou dispositivo de sincronização. Crie-a em Drive → Sync devices no Painel ou webmail. Dê um nome, escolha as permissões e defina uma expiração opcional. Administradores podem criar senhas para toda a conta; usuários de caixas podem criar no webmail senhas exclusivas para suas caixas. Revogar uma senha mantém os outros dispositivos conectados. A nova senha só é exibida na criação. Administradores podem ver e revogar dispositivos nas duas interfaces. Consulte Dispositivos sincronizados para conhecer todo o ciclo de vida.
• O log de auditoria da API ajuda os administradores a revisar atividades da API e investigar alterações inesperadas.

Criptografia de dados

• Segredos protegidos: credenciais confidenciais que o TrekMail precisa recuperar para uma operação, como certos tokens de provedores ou credenciais de migração, são armazenadas com criptografia do aplicativo. Senhas usadas apenas para autenticação são armazenadas como hashes unidirecionais.
• Manutenção de segurança: o TrekMail mantém as proteções dos dados armazenados sem exigir que você reconfigure a conta.
• Registros de conformidade: alguns registros de cobrança e administração podem ser mantidos quando uma conta é excluída. Consulte Privacidade e retenção de dados para ver a política aplicável.
• Proteção de senhas: as senhas são protegidas e não voltam a ser exibidas depois de criadas ou alteradas. Use o fluxo disponível de alteração ou redefinição se precisar de uma nova.

Práticas operacionais

• TLS é obrigatório nas conexões IMAP e SMTP exibidas em Apps & devices. Use exatamente o host, a porta e o método TLS mostrados para a caixa de correio ou marca, em vez de copiar valores de um guia antigo.
• A autenticação DNS (SPF, DKIM, DMARC) é obrigatória para o envio e protege a identidade do seu domínio.
• Endereços de e-mail descartáveis e temporários são bloqueados no cadastro para prevenir abuso.
• O e-mail recebido passa por vários controles de spam e segurança, incluindo proteção contra anexos perigosos.
• Limites de frequência e controles contra abuso protegem o login público e os serviços de e-mail.
• Controles de segurança do navegador ajudam a proteger o Painel e o webmail.
• Caixas de correio desativadas e suspensas são excluídas da entrega. O TrekMail não aceita nem encaminha e-mails para uma caixa que não esteja ativa.
• O e-mail enviado é monitorado por caixa. Se a saída de uma caixa indicar uma senha roubada, o TrekMail poderá interromper o envio dessa caixa sem afetar as outras da conta. Altere a senha e fale com o suporte para avaliar a restauração do envio. Consulte Segurança da caixa de correio.
• Dependências vulneráveis são bloqueadas durante a implantação por verificações automatizadas de auditoria.

Pesquisadores independentes podem consultar nossa Política de divulgação de segurança e vulnerabilidades antes de testar ou relatar um problema. Pesquisadores cujos relatos válidos ajudem a proteger o TrekMail podem receber reconhecimento em nosso Hall da fama de segurança.

Segurança de API e MCP

• Tokens de API usam autenticação bearer por HTTPS. Mantenha o token privado e revogue-o se suspeitar que foi exposto.
• Os escopos limitam as ações de cada token. As restrições de domínio limitam quais domínios ele pode acessar.
• A exclusão de uma caixa exige um fluxo de intenção e confirmação em duas etapas que expira em 10 minutos.
• O servidor MCP desativa operações destrutivas por padrão. As ferramentas de exclusão exigem ativação explícita.
• As configurações de conexão e solicitações de migração são validadas antes do uso.
• Administradores podem revisar atividades da API em AI Agents & API → Audit Log.
• Os limites de solicitações ajudam a proteger dados das caixas contra coleta automatizada.

Correções rápidas e solução de problemas

• Ative 2FA para todos os administradores a fim de reduzir o risco de invasão da conta.
• Mantenha os registros DNS atualizados para evitar falsificação e problemas de entrega.
• Revogue imediatamente os tokens de API se suspeitar que foram comprometidos.
• Revise regularmente o log de auditoria da API para detectar atividades inesperadas.
• Relate atividades suspeitas pela Central de Suporte, informando horários e contas afetadas.