Equipes e acesso
Quatro funções de cliente, subcontas que refletem como sua empresa é realmente estruturada, chaves de API por organização, logon único e um registro de auditoria por trás de cada ação privilegiada. O mesmo modelo de acesso funciona no painel, na API, na CLI, no Terraform e em nosso servidor MCP. Disponibilidade: o provedor do Terraform está em desenvolvimento ativo e ainda não está disponível. Todo o restante descrito aqui já está ativo hoje.
O acesso não é uma simples chave de ligar/desligar. Cada organização de cliente vem com quatro funções, cada uma sendo um pacote fixo de permissões granulares de module.action — para que um contato financeiro nunca toque em um servidor e um desenvolvedor nunca veja uma fatura.
Controle total da organização e de suas subcontas: criar organizações secundárias, convidar e remover membros, alterar funções, gerenciar chaves de API, provisionar, reiniciar, suspender e excluir sites, gerenciar faturas e métodos de pagamento e ler o registro de auditoria. Duas ações ficam deliberadamente fora disso: fechar uma organização e emitir reembolsos são ações da equipe, não uma função do cliente.
Tudo relacionado ao financeiro e nada mais: faturas, assinaturas, métodos de pagamento e o catálogo de planos, além da visualização da organização e de sua lista de membros. Nenhum acesso ao site — um contato financeiro ou um contador externo não pode reiniciar, suspender ou excluir nada.
Trabalhe em sites sem tocar em dinheiro: visualize e provisione sites, reinicie serviços, limpe caches, gerencie chaves de API e abra ou responda a tíquetes de suporte. Sem visualização de faturamento, sem gerenciamento de membros, sem suspensão e sem exclusão — as ações destrutivas e comerciais permanecem com o proprietário.
Uma visualização completa sem a capacidade de alterar nada — membros, sites, faturamento, planos, chamados, status de tradução e o registro de auditoria. A função ideal para um stakeholder do cliente, um auditor interno ou um novo integrante que ainda está se adaptando.
A multilocação é uma árvore, não uma lista simples. Uma organização de revenda fica acima de suas organizações clientes, e os sites ficam abaixo delas. Um membro da equipe é uma associação — um usuário, uma organização, uma função —, portanto, o mesmo elemento primitivo atende a uma equipe de duas pessoas, uma agência que gerencia cem contas de clientes e um revendedor que opera subcontas sob sua própria marca.
As funções são concedidas por organização, e a aplicação também ocorre por organização. Uma função em uma organização não concede nenhum acesso a uma organização separada e não relacionada — um prestador de serviços pode ser Desenvolvedor na conta de um cliente e Somente leitura em uma segunda, a partir do mesmo login. No entanto, o acesso flui pela sua própria hierarquia: uma função em uma organização mãe se aplica às organizações aninhadas abaixo dela, que é como revendedores e agências gerenciam seus clientes.
O isolamento é aplicado no banco de dados, não apenas no código da aplicação. A segurança em nível de linha do Postgres restringe cada consulta de locatário à subárvore do chamador, e qualquer item fora dessa subárvore retorna um erro de não encontrado em vez de um erro de permissão — assim, a plataforma nunca sequer confirma a existência da organização ou do site de outro locatário.
As funções não são apenas uma conveniência do painel. Cada forma de acesso à plataforma é resolvida com as mesmas chaves de permissão, portanto, não há portas dos fundos que ignorem suas regras de acesso.
Sites, faturamento, chamados, avisos, notificações, chaves de API e gerenciamento de equipe em um único ambiente. A interface exibe o que a função do membro conectado permite, de modo que os usuários não veem controles que não podem utilizar.
A API publicada é a mesma API de mecanismo que o painel usa. As chaves de API são emitidas por organização com escopos granulares vinculados às permissões de RBAC, e os modos sandbox e de produção separados significam que você pode testar integrações sem afetar o faturamento ou provisionamento reais.
Gerencie sites, domínios, DNS, caixas de correio e planos como infraestrutura como código e execute terraform apply para provisionar a hospedagem — controlada pelos mesmos escopos que todo o restante.
Conecte o Claude Code, Cursor, ChatGPT, Claude Desktop ou qualquer ferramenta compatível com MCP. Os tokens são limitados a uma organização e às suas permissões RBAC, revogáveis por ferramenta, com confirmação em ações destrutivas, limites de gastos e um registro de auditoria completo.
Apenas um hash de cada chave de API é armazenado — nunca a chave bruta. As chaves possuem um nome e um prefixo visível para que o senhor possa diferenciá-las, registrar quando foram usadas pela última vez e podem ser revogadas individualmente sem afetar as demais.
O gerenciamento de identidade roda no Keycloak, de modo que a autenticação é OIDC e SAML adequada, em vez de um formulário de login sob medida acoplado a um painel de hospedagem.
Cada ação privilegiada grava um registro de auditoria do tipo somente anexo: quem a realizou, o que fez, sobre o que agiu, as evidências comprobatórias e o endereço IP de origem. O log é do tipo somente anexo — os eventos são adicionados, não editados no local — e, em produção, é particionado por tempo para que permaneça rápido à medida que cresce.
A leitura desse registro é, por si só, uma permissão. Proprietários e membros com acesso somente leitura a possuem, permitindo que tanto a pessoa responsável pela conta quanto o auditor vejam o histórico completo sem a necessidade de direitos elevados para fazê-lo.
Em torno disso estão os controles que as equipes maiores solicitam: políticas de sessão, listas de permissões de IP opcionais por organização e autenticação avançada em ações confidenciais, para que uma sessão ativa por si só não seja suficiente para realizar algo crítico.
O catálogo de permissões é composto por dados, não por lógica codificada diretamente — e é por isso que ele pode ser estendido sem a necessidade de reestruturar a plataforma.
O Proprietário tem controle total da organização e de suas subcontas, incluindo membros, chaves de API, sites e métodos de pagamento. O Gerente de Faturamento visualiza faturas, assinaturas, métodos de pagamento e planos, sem acesso aos sites. O Desenvolvedor gerencia sites e chaves de API e trata de chamados, sem controle sobre faturamento ou membros. O modo Somente Leitura permite visualizar membros, sites, faturamento, planos, chamados e o registro de auditoria sem alterar nada.
Ainda não como uma configuração por site — restringir uma única associação a sites específicos é um refinamento planejado. Hoje você obtém a mesma separação com a árvore de locação (tenancy tree): coloque esses sites em uma organização secundária e atribua uma função à pessoa nela. Como as funções são concedidas por organização, esse acesso não é transferido para mais nada em sua conta.
Não — as chaves de API são emitidas por organização, com escopos granulares vinculados às mesmas permissões de RBAC e modos sandbox e live separados. Use-as como credenciais de serviço para integrações, CI ou Terraform e use associações para pessoas. Apenas um hash de cada chave é armazenado, cada chave registra quando foi usada pela última vez e qualquer chave pode ser revogada individualmente.
A função Desenvolvedor abrange a visualização e provisionamento de sites, reinicialização de serviços, limpeza de caches, gerenciamento de chaves de API e tratamento de tíquetes. Ela não inclui direitos de publicação em um site ativo, portanto, se você deseja que alguém possa aplicar alterações, esse acesso precisa pertencer a um proprietário. As funções são definidas por organização, permitindo que você tenha uma função diferente em outra conta.
Sim. A identidade funciona no Keycloak com OIDC e SAML, portanto, o logon único (SSO) SAML está disponível para clientes corporativos e agências, juntamente com login por magic-link, e-mail e senha, provedores sociais, chaves de acesso (passkeys) e autenticação de dois fatores por TOTP, que é obrigatória por política. Uma única sessão abrange o painel, o site público, a base de conhecimento e os chamados de suporte.
Cada ação privilegiada é gravada em um registro de auditoria somente de acréscimo, que registra o autor, a ação, o destino, as evidências de suporte e o endereço IP. A leitura desse registro é uma permissão por si só, concedida tanto à função de Proprietário quanto à de Somente leitura, de modo que o proprietário da conta e um auditor possam revisar o mesmo histórico.
Os planos têm preços definidos pela capacidade de hospedagem, e não pelo número de pessoas. Na linha Footprint-Free, por exemplo, todos os 42 níveis compartilham exatamente o mesmo conjunto de recursos e diferem apenas pelo número de sites permitidos. Os preços são sempre exibidos a partir do catálogo em tempo real, na sua moeda, portanto, o que você vê na página de preços é o que realmente é cobrado.
Sim. O teste Footprint-Free dura 14 dias, não exige dados de cartão e cobre até 5 sites, para que o senhor possa configurar sua organização, convidar sua equipe e testar as funções em situações reais de trabalho antes de pagar qualquer valor. Há uma garantia de reembolso de 30 dias para os planos pagos.
Inicie um teste de 14 dias sem cartão na linha Footprint-Free, convide sua equipe e veja as funções atuando em sites reais antes de pagar qualquer valor.
Comece grátis