Segurança na Arena

Segurança não é uma característica adicionada posteriormente — ela molda como a Arena é construída. Quatro princípios guiam cada decisão.

1. 1

   Confidencialidade por design

   Cada participante vê apenas o que seu papel permite. Nada é exposto por padrão.

2. 2

   Menor privilégio

   O acesso a dados e ações é limitado ao mínimo necessário para cada função.

3. 3

   Independência de fornecedores

   Atividades reguladas são realizadas por meio de parceiros verificados, de forma que a Arena nunca seja um ponto único de falha para seus fundos.

4. 4

   Responsabilidade verificável

   Ações materiais são registradas em uma linha do tempo de auditoria imutável.

• Criptografia em trânsito (TLS) para todo o tráfego, e criptografia em repouso para bases de dados e documentos carregados.
• Segredos e credenciais são mantidos em configurações isoladas por ambiente, nunca no código-fonte.
• Senhas são armazenadas apenas como hashes unidirecionais robustos.
• Documentos carregados são armazenados em armazenamento de objetos controlado por acesso, separado dos metadados da operação.

• Links sem necessidade de senha e de propósito único para participantes sem conta — limitados a uma operação e um papel.
• Códigos de uso único e links mágicos para login seguro.
• Proteção contra bots e abuso (Cloudflare Turnstile) em endpoints públicos e de autenticação.
• Autorização baseada em papéis verificada em cada solicitação, no lado do servidor.

A Arena nunca se torna custodiante do seu dinheiro. Os fundos são mantidos e movimentados por um parceiro de infraestrutura de pagamentos regulamentado. A Arena coordena a operação; o parceiro regulamentado executa a atividade regulamentada.

• Monitoramento contínuo de erros e alertas mantêm os problemas visíveis e rápidos de resolver.
• Um cronograma de auditoria somente apendável registra cada ação material para rastreabilidade.
• Procedimentos de backup e recuperação protegem contra perda de dados.