Pular para o conteúdo principal
Página inicial da Central de Ajuda de Sankhya Gestão de Negócios

Páginas com dados sensíveis

BackOffice SDk

Aqui está a análise completa dos dados sensíveis encontrados no espaço "neppo" do Confluence. Identifiquei várias categorias de informações que não devem ficar públicas:

🔴 Criticidade ALTA — URLs de Infraestrutura Interna

Página

Dados sensíveis

URLs de produção e HML de autenticação (api-auth.neppo.com.br, hml-api-auth.neppo.com.br), URLs de GrayLog interno (preprd-logs.neppo.com.br, logs.neppo.com.br) com IDs de streams, URLs internas das APIs (hml-api.neppo.com.br/preprdtransformersapi), comando curl com padrão de credenciais (CLIENT_KEY/CLIENT_SECRET)

Host interno de HML (hml-chat-api.neppo.com.br), nome da política de roteamento WSO2 (NeppoDynamicRoutingHML), arquitetura de roteamento (JWT claims, header X-Target-Backend, Traefik)

URLs de HML e PROD da Ticket API, URL de bucket S3 (bucket-hml.s3.amazonaws.com/tickets/...)

URL do registry privado (registry.neppo.com.br), repositório Bitbucket (git@bitbucket.org:neppo/neppochat-server.git), comando de login docker com placeholder de senha, arquivo anexo docker-compose.local.yml (potencialmente com variáveis de ambiente sensíveis)

🟠 Criticidade MÉDIA — Padrões de Autenticação e Credenciais

Página

Dados sensíveis

Endpoints internos da Chat API (/1.0/api/users/save, /1.0/api/messages/unique, etc.), fluxo de autenticação detalhado (Neppo Token API)

Exemplos reais de uso com referências a hosts/credenciais do Vault ({{config.credentials.host}}, {{config.credentials.sessionId}})

Fluxo OAuth 2.0 Client Credentials completo, referência a tabelas internas do Sankhya (TGFPAR, TGFCAB, TGFITE), link para documentação interna do espaço "Desenvolvi"

Campos de senha (passwordAttendance, password), tokens (agentToken, socialToken) nos modelos de dados

Formato/padrão de tokens de webhook (whk_...)

🟡 Criticidade BAIXA-MÉDIA — Arquitetura Interna e Dados Operacionais

Página

Dados sensíveis

Arquitetura multi-tenant, clusters internos (hml/prod/testes), fluxo completo de provisioning de clientes, mecanismos de segurança internos

Caminhos de tokens de IA no Vault: openai/token, generativeAi (AWS, Google)

Estrutura de armazenamento de tokens de clientes no Vault

Arquitetura interna do gateway-manager e fluxo de orquestração

Resumo de riscos

  1. Exposição de superfície de ataque — URLs de ambientes HML, pre-prod e ferramentas internas (GrayLog, registry) permitem mapear infraestrutura

  2. Padrões de autenticação — Comandos curl com estrutura de credenciais OAuth2 facilitam ataques direcionados

  3. Arquivo anexo potencialmente sensível — docker-compose.local.yml na página de Environment Setup pode conter variáveis de ambiente com segredos

  4. Dados de modelos — Campos de senha/token nos modelos de dados revelam estrutura de banco

  5. Email interno — integracao@neppo.com.br (referenciado no Check-List de Implantação)

Recomendação

As páginas de criticidade ALTA devem ser restringidas imediatamente ou ter os dados sensíveis removidos/ofuscados antes de tornar a documentação pública. As páginas de criticidade média podem ser mantidas se os valores reais forem substituídos por placeholders genéricos (ex: <SUA_URL> em vez de URLs reais de infraestrutura).

Esse artigo foi útil?
Usuários que acharam isso útil: 0 de 0

Comentários

0 comentário

Escreva seu comentário aqui

Por favor, entre para comentar.