Acesso delegado
Traga um desenvolvedor, passe o faturamento para seu contador, dê a um cliente uma visualização somente leitura de seus próprios sites ou deixe nossa equipe de suporte analisar um problema. Cada concessão é uma função com permissões definidas, com escopo para uma organização, aplicada no banco de dados e gravada em um registro de auditoria somente de acréscimo.
Compartilhar um único login é a maneira como o acesso à conta dá errado. Na Zinn Digital®, cada pessoa tem sua própria identidade, e o acesso é uma associação — um usuário, uma organização e uma função — que o senhor pode conceder, alterar ou revogar individualmente.
Cada colaborador faz login como si mesmo por meio do Keycloak, nossa camada de identidade. Ninguém digita sua senha, ninguém compartilha uma sessão do navegador e remover alguém é uma ação única, em vez de uma rotação de senhas e uma correria para descobrir quem mais a conhecia.
As contas são hierárquicas — uma organização de revenda contém organizações de clientes, e as organizações de clientes contêm sites. A associação se aplica a uma organização e a tudo o que estiver abaixo dela, para que você possa conceder a um cliente de agência o controle de sua própria organização sem nunca expor seus outros clientes.
A separação de locatários não é um filtro no código da aplicação que um bug possa ignorar. O Row-Level Security do Postgres restringe cada consulta à subárvore da organização do chamador, portanto, uma solicitação fora do seu escopo não tem nada a retornar.
Solicite uma organização ou um site fora do seu escopo e a API responderá com um simples "não encontrado" em vez de um erro de permissão. Um erro de permissão confirmaria a existência do registro; o "não encontrado" não revela absolutamente nada a alguém de fora.
As permissões são chaves granulares — módulo mais ação, como sites.restart ou billing.refund — e as funções as agrupam. Quatro funções cobrem as necessidades reais das equipes, e cada uma delas consiste em dados que nós inicializamos, não em lógica embutida no código.
Controle total: crie organizações secundárias, convide e remova membros, altere funções, gerencie chaves de API, crie, reinicie, limpe o cache, suspenda e exclua sites, gerencie cobranças e faturas, abra chamados e leia o registro de auditoria. A função que você mantém para si mesmo.
Visualiza a organização, seus membros e o catálogo de planos, e gerencia faturas, métodos de pagamento e cobranças. Nenhum acesso para criar, alterar ou excluir um único site — exatamente o perfil que um contador externo deve ter.
Visualiza e cria sites, reinicia serviços, limpa o cache, gerencia chaves de API e trabalha em tíquetes. Excluídos deliberadamente: faturamento, faturas, formas de pagamento, gerenciamento de membros, suspensão de sites e exclusão de sites. Um prestador de serviços pode construir sem poder cobrar você ou destruir nada.
Visualiza a organização, seus membros, seus sites, seu faturamento, o catálogo de planos, chamados, status de tradução e o registro de auditoria — e não pode alterar nada disso. A permissão adequada para um cliente que deseja visibilidade, um auditor ou uma parte interessada que só precisa consultar.
Delegar acesso só é seguro se as contas para as quais você delega forem difíceis de invadir. A autenticação é executada por meio do Keycloak para cada pessoa na conta, em todas as superfícies.
O trabalho de suporte às vezes exige acessar sua conta. Esse acesso é regido pelo mesmo modelo de permissões que todo o restante — os funcionários simplesmente fazem parte de uma organização de equipe, organizada em departamentos com concessões restritas.
A equipe é agrupada em Suporte, Faturamento e Finanças, Abuso e Confiança e Segurança, Vendas, Integração, Engenharia e Operações, Marketing e Gestão. Cada função concede módulos e ações específicos, para que o atendente veja a parte do console administrativo necessária para o seu trabalho, e não o restante.
A função Support Agent concede exatamente isto: visualizar clientes, visualizar e responder a tíquetes, visualizar sites, reiniciar um site e limpar seu cache. Ela não inclui configuração de faturamento, reembolsos, edição de planos nem gerenciamento de frota. As correções que um atendente pode realizar são limitadas pela função, e não por boas intenções.
A permissão customer.impersonate não faz parte da função Manager — ela pertence exclusivamente ao Super Admin. Quando uma sessão estiver em execução em seu nome, o painel exibirá um banner persistente de representação para que nunca haja dúvidas sobre quem está realizando a ação.
Cada ação privilegiada e administrativa é anexada a um registro de auditoria somente de acréscimo que registra o agente, a ação, o destino, os metadados de suporte, o endereço IP e o carimbo de data/hora — particionado por tempo em produção. Os proprietários e membros somente leitura podem ler o registro da sua organização diretamente.
Ações confidenciais e destrutivas da equipe podem exigir autenticação reforçada ou aprovação de duas pessoas antes de serem executadas, e novos departamentos e funções são uma questão de configuração, e não de alteração de código.
Scripts, pipelines de CI, a CLI, o provedor Terraform e agentes de IA autenticam-se por meio do mesmo modelo de permissão que as pessoas: sem credenciais humanas compartilhadas, sem segredos de longa duração colados em uma compilação.
As chaves pertencem a uma organização e possuem escopos granulares vinculados às mesmas permissões RBAC — somente leitura, faturamento, provisionamento. Conceda a um pipeline o escopo restrito de que ele precisa, em vez de toda a conta de um membro.
As chaves do modo de teste e do modo de produção são distintas, portanto uma integração em desenvolvimento não pode acessar os dados de produção por acidente ou por meio de uma variável de ambiente copiada.
Armazenamos um hash SHA-256 do segredo e um prefixo de pesquisa — nunca a chave bruta. Você vê uma chave apenas uma vez, no momento da criação. Cada chave rastreia quando foi usada pela última vez e pode ser revogada individualmente sem afetar mais nada.
Nosso servidor MCP permite que qualquer agente compatível com MCP gerencie sua hospedagem em linguagem natural, autenticado com OAuth 2.1 e com escopo definido para sua organização e função RBAC, com tokens revogáveis por ferramenta, confirmação em ações destrutivas, limites de gastos e registro completo de auditoria.
O acesso à conta e o acesso ao servidor são problemas diferentes. As credenciais em nível de site são gerenciadas no painel, emitidas com privilégios mínimos e isoladas para que o shell de um colaborador seja estritamente o shell de um único site.
Um operador solo mantém uma única organização e uma associação de proprietário, e adiciona uma função de Desenvolvedor quando um prestador de serviços entra para um projeto. Quando o projeto termina, a associação é removida e o login dele para de funcionar imediatamente — nenhuma credencial compartilhada é deixada para trás para ser alternada.
Uma agência utiliza a árvore de organizações. Cada cliente recebe sua própria organização filha, que abriga seus sites, e as equipes do próprio cliente obtêm associações nela — somente leitura para uma parte interessada que deseja visibilidade, proprietário para um cliente que deseja autoatendimento. Sua equipe mantém associações em níveis superiores da árvore e visualiza o portfólio; o cliente vê apenas sua própria ramificação, e a Segurança em Nível de Linha (Row-Level Security) é o que torna isso uma realidade, e não apenas uma promessa.
Um revendedor funciona da mesma maneira, um nível acima: uma organização de revendedor contém organizações de clientes, cada uma com seus próprios membros, visualização de faturamento e sites. A mesma estrutura básica alimenta subcontas, equipes de agências e hierarquias de revendedores — não há um mecanismo separado ou inferior para nenhum deles.
Tudo está disponível no teste de 14 dias sem necessidade de cartão. Cadastre-se sem dados de pagamento, convide um colega, observe o que cada função pode e não pode acessar e consulte seu próprio registro de auditoria.
Hoje, uma assinatura concede sua função a uma organização inteira e a tudo o que estiver abaixo dela na árvore, portanto, a maneira de separar conjuntos de sites é separar organizações — coloque esses sites em sua própria organização filha e conceda a assinatura lá. É um modelo limpo para agências e revendedores, onde cada cliente já deseja seu próprio limite. O controle de escopo de recursos por assinatura, fixando uma única assinatura a sites designados dentro de uma organização, é um aprimoramento planejado e não algo disponível no momento.
A função Desenvolvedor não inclui a exclusão ou suspensão do site — essas permissões pertencem à função Proprietário. Ela concede visualização e criação de sites, reinicialização de serviços, limpeza de cache, gerenciamento de chaves de API e trabalho em tíquetes. As permissões de implantação e publicação em produção também não fazem parte da concessão de Desenvolvedor, portanto, o envio para produção permanece com o proprietário da conta. Combine isso com o ambiente de testes (staging) para que o trabalho de desenvolvimento ocorra fora do site ativo desde o início.
Isso depende inteiramente da função da equipe, e cada função é um conjunto restrito de chaves de permissão. Um Agente de Suporte, por exemplo, pode visualizar sua conta e sites, visualizar e responder aos seus chamados, reiniciar um site e limpar seu cache — e não pode alterar configurações de faturamento, reembolsos, planos ou a frota. Entrar como cliente é uma permissão separada concedida apenas ao Superadministrador e, quando isso ocorre, o painel exibe um aviso persistente de representação. Cada ação privilegiada é registrada no log de auditoria com o autor, ação, destino, IP e data/hora, e o senhor pode consultar o log de sua organização por conta própria.
Remova a associação e o acesso dessa pessoa à organização será encerrado — ela ainda mantém sua própria identidade, mas sem função e, portanto, sem permissões em sua conta. As chaves de API são revogadas individualmente, de modo que uma chave de pipeline pode ser desativada sem afetar mais nada. Se você usa o logon único SAML, o desprovisionamento no seu provedor de identidade gerencia o login centralmente. As credenciais em nível de site, como chaves SSH, são revogadas no painel, e a própria remoção é registrada para fins de auditoria.
Não — mas vale a pena esclarecer exatamente o porquê. As chaves de API pertencem à organização, não a um membro individual, e possuem seus próprios escopos granulares vinculados ao mesmo catálogo de permissões. Portanto, em vez de entregar uma chave a uma pessoa, você cria uma chave para a função que ela desempenha com o escopo mais restrito de que essa tarefa precisa e revoga essa chave quando o trabalho termina. Apenas um hash do segredo é armazenado, e cada chave registra quando foi usada pela última vez, facilitando a localização e a desativação de chaves não utilizadas.
Sim. Nosso servidor MCP autentica agentes com OAuth 2.1 e restringe o escopo deles à sua organização e à sua função de RBAC, com tokens revogáveis por ferramenta, para que você conceda uma capacidade específica em vez de acesso amplo. Ações destrutivas exigem confirmação, limites de gastos são aplicados e cada ação vai para o mesmo registro de auditoria que a atividade humana.
A Segurança em Nível de Linha (Row-Level Security) do Postgres restringe as consultas à subárvore da organização do solicitante no próprio banco de dados, com o filtro em nível de aplicativo servindo como defesa em profundidade em vez de ser a única linha. As solicitações de registros fora do escopo retornam 'não encontrado' em vez de um erro de permissão, de modo que nada seja revelado sobre o que existe. No lado do servidor, o isolamento por site por meio do CageFS mantém o shell e os arquivos de cada locatário restritos ao seu próprio site.
Sim. O teste gratuito de 14 dias não exige cartão — sem dados de pagamento, sem compromisso — e inclui o Footprint-Free Hosting com até cinco sites. É o suficiente para convidar um colega, atribuir uma função e confirmar se os limites se comportam da maneira que você precisa antes de se comprometer.
Comece com o teste de 14 dias sem necessidade de cartão, convide alguém e veja o modelo de permissões fazer o trabalho dele: funções que você pode nomear, escopos que você pode revogar e um registro de auditoria que informa com precisão quem fez o quê.
Comece grátis