Equipes e acesso
Quatro funções de cliente, subcontas que refletem a verdadeira estrutura da sua empresa, chaves de API por organização, logon único e um registro de auditoria para cada ação com privilégios. O mesmo modelo de acesso opera no painel de controle, na API, na CLI, no Terraform e em nosso servidor MCP. Disponibilidade: o provedor do Terraform está em desenvolvimento ativo e ainda não está disponível. Todo o resto descrito aqui está no ar hoje.
O acesso não é um simples botão de liga/desliga. Toda organização cliente vem com quatro funções, cada uma sendo um pacote fixo de permissões granulares de module.action — para que um contato financeiro nunca toque em um servidor e um desenvolvedor nunca veja uma fatura.
Controle total da organização e de suas subcontas: criar organizações filhas, convidar e remover membros, alterar funções, gerenciar chaves de API, provisionar, reiniciar, suspender e excluir sites, gerenciar faturas e métodos de pagamento, e ler o log de auditoria. Duas coisas ficam deliberadamente fora disso — fechar uma organização e emitir reembolsos são ações da equipe, não de uma função de cliente.
Tudo relacionado a finanças e mais nada: faturas, assinaturas, métodos de pagamento e o catálogo de planos, além de uma visão da organização e de sua lista de membros. Sem nenhum acesso ao site — um contato financeiro ou um contador externo não pode reiniciar, suspender ou excluir nada.
Trabalhe em sites sem mexer com dinheiro: visualize e provisione sites, reinicie serviços, limpe caches, gerencie chaves de API e abra ou responda a tíquetes de suporte. Sem visualização de cobrança, sem gerenciamento de membros, sem suspensão e sem exclusão — as ações destrutivas e comerciais ficam com o proprietário.
Uma visão completa sem a capacidade de alterar nada — membros, sites, faturamento, planos, tickets, status de tradução e o registro de auditoria. A função ideal para um cliente interessado, um auditor interno ou um novo funcionário que ainda está se inteirando.
A locação é uma árvore, não uma lista plana. Uma organização de revendedores fica acima de suas organizações clientes, e os sites ficam abaixo delas. Um membro da equipe é uma associação — um usuário, uma organização, um cargo —, de modo que a mesma primitiva alimenta uma equipe de duas pessoas, uma agência que gerencia cem contas de clientes e um revendedor que executa subcontas sob sua própria marca.
As funções são concedidas por organização, e a aplicação também ocorre por organização. Uma função em uma organização não concede acesso em uma organização separada e não relacionada — um contratado pode ser Desenvolvedor em uma conta de cliente e Apenas leitura em uma segunda, a partir do mesmo login. No entanto, o acesso flui pela sua própria hierarquia: uma função em uma organização pai se aplica às organizações aninhadas abaixo dela, que é como revendedores e agências gerenciam seus clientes.
O isolamento é aplicado no banco de dados, e não apenas no código da aplicação. A segurança a nível de linha do Postgres restringe cada consulta de locatário à subárvore do chamador, e qualquer dado fora dessa subárvore retorna como não encontrado em vez de um erro de permissão — de modo que a plataforma nunca chega a confirmar que a organização ou o site de outro locatário existe.
Funções não são apenas uma conveniência do painel. Cada forma de acesso à plataforma resolve para as mesmas chaves de permissão, portanto não há nenhuma porta dos fundos que ignore suas regras de acesso.
Sites, cobranças, chamados, avisos, notificações, chaves de API e gerenciamento de equipe em um único painel. A interface exibe apenas o que a função do membro conectado permite, para que as pessoas não vejam controles que não podem usar.
A API publicada é o mesmo motor de API que o painel utiliza. As chaves de API são emitidas por organização com escopos granulares vinculados às permissões de RBAC, e os modos sandbox e live separados significam que você pode testar integrações sem mexer no faturamento ou no provisionamento real.
Gerencie sites, domínios, DNS, caixas de correio e planos como infraestrutura como código e execute terraform apply para provisionar a hospedagem — regido pelos mesmos escopos de todo o resto.
Conecte o Claude Code, Cursor, ChatGPT, Claude Desktop ou qualquer ferramenta compatível com MCP. Os tokens são restritos a uma organização e às suas permissões de RBAC, revogáveis por ferramenta, com confirmação em ações destrutivas, limites de gastos e uma trilha de auditoria completa.
Apenas um hash de cada chave de API é armazenado — nunca a chave real. As chaves possuem um nome e um prefixo visível para que você possa distingui-las, registrar quando foram usadas pela última vez e podem ser revogadas individualmente sem afetar as demais.
A identidade é gerenciada pelo Keycloak, portanto a autenticação usa OIDC e SAML adequados, em vez de um formulário de login personalizado adaptado a um painel de hospedagem.
Cada ação privilegiada grava um registro de auditoria somente de inclusão: quem a executou, o que foi feito, em que foi feito, as evidências de suporte e o endereço IP de origem. O log é somente de inclusão — os eventos são adicionados, não editados no local — e, em produção, ele é particionado por tempo para continuar rápido à medida que cresce.
Ler esse log é, por si só, uma permissão. Proprietários e membros com acesso somente leitura a possuem, portanto, a pessoa responsável pela conta e quem está auditando-a podem ver todo o histórico sem precisar de privilégios elevados para isso.
Ao redor disso estão os controles que equipes maiores solicitam: políticas de sessão, listas de permissão de IP opcionais por organização e autenticação reforçada em ações confidenciais, para que apenas uma sessão ativa não seja suficiente para realizar algo sério.
O catálogo de permissões é dado, e não lógica codificada rigidamente — razão pela qual pode ser estendido sem reestruturar a plataforma.
O proprietário tem controle total da organização e de suas subcontas, incluindo membros, chaves de API, sites e métodos de pagamento. O Gerente de Faturamento visualiza faturas, assinaturas, métodos de pagamento e planos, sem acesso a sites. O Desenvolvedor gerencia sites e chaves de API e lida com tickets, sem controle de faturamento ou de membros. O modo Somente leitura pode visualizar membros, sites, faturamento, planos, tickets e o registro de auditoria sem alterar nada.
Ainda não é uma configuração por site — restringir uma única assinatura a sites específicos é um refinamento planejado. Hoje você consegue a mesma separação com a árvore de locatários: coloque esses sites em uma organização filha e atribua à pessoa uma função lá. Como as funções são concedidas por organização, esse acesso não se estende a mais nada em sua conta.
Não — As chaves de API são emitidas por organização, com escopos granulares vinculados às mesmas permissões de RBAC, e modos separados de sandbox e produção. Use-as como credenciais de serviço para integrações, CI ou Terraform, e use as associações (memberships) para pessoas. Apenas um hash de cada chave é armazenado, cada chave registra quando foi usada pela última vez e qualquer chave pode ser revogada individualmente.
O papel de Desenvolvedor abrange a visualização e o provisionamento de sites, a reinicialização de serviços, a limpeza de caches, o gerenciamento de chaves de API e o atendimento de chamados. Ele não concede direitos de publicação em um site ativo, portanto, se você quiser que alguém possa promover alterações, esse acesso deve ficar com um proprietário. Os papéis são por organização, então você pode ter um papel diferente em uma conta diferente.
Sim. A identidade é gerenciada pelo Keycloak com OIDC e SAML, portanto, o logon único (SSO) SAML está disponível para clientes corporativos e de agências, juntamente com o login por link mágico, e-mail e senha, provedores sociais, chaves de acesso (passkeys) e autenticação de dois fatores por TOTP, que é aplicada por política. Uma única sessão cobre o painel, o site público, a base de conhecimento e os tickets de suporte.
Cada ação privilegiada é gravada em um registro de auditoria somente de acréscimo que registra o autor, a ação, o alvo, as evidências de apoio e o endereço IP. Sua leitura é uma permissão por direito próprio, detida tanto pela função de Proprietário quanto pela de Somente leitura, permitindo que o proprietário de uma conta e um auditor revisem o mesmo histórico.
Os planos são precificados pela capacidade de hospedagem e não por pessoas. Na linha Footprint-Free, por exemplo, todos os 42 níveis compartilham exatamente o mesmo conjunto de recursos e diferem apenas pelo número de sites que permitem. A precificação é sempre obtida do catálogo ativo, na sua moeda, portanto, o que você vê na página de preços é o que realmente é cobrado.
Sim. O período de teste do Footprint-Free dura 14 dias, não exige dados de cartão e cobre até 5 sites, para que você possa configurar sua organização, convidar sua equipe e testar as funções com trabalho real antes de pagar qualquer valor. Há uma garantia de reembolso de 30 dias para os planos pagos.
Inicie um teste de 14 dias sem cartão na linha Footprint-Free, convide sua equipe e veja as funções funcionando em sites reais antes de pagar qualquer coisa.
Comece grátis