O que a XSafe faz com o seu certificado

Quando você envia o arquivo .pfx, a senha é usada uma única vez, em memória, para extrair o certificado e a chave privada. Ela não é gravada no banco, não vai para arquivo de log e não existe nenhuma coluna no sistema capaz de armazená-la. Se você esquecer a senha, nem nós podemos recuperá-la.

O par certificado + chave privada é cifrado com AES-256-GCM usando uma chave de dados exclusiva daquela empresa. Essa chave, por sua vez, é cifrada por uma chave-mestra que vive apenas em variável de ambiente do servidor — nunca no banco de dados.

Na prática: quem obtivesse uma cópia do banco não conseguiria abrir certificado nenhum, porque a chave que os abre não está lá.

Cada documento fiscal é cifrado com a mesma chave da empresa antes de ir para o armazenamento. O conteúdo é opaco mesmo para quem tivesse acesso direto aos arquivos, e a decifragem só acontece depois que o sistema confirma que a conta pedindo o download é a dona da empresa.

As consultas usam o webservice oficial de Distribuição de DFe, com autenticação mútua por TLS: o seu certificado é apresentado à SEFAZ no momento da conexão e descartado da memória em seguida. Não há intermediário nem cópia do certificado fora do cofre.

A XSafe apenas lê documentos. Ela não emite notas, não cancela documentos e não envia nenhum evento em nome da sua empresa.

O login é por link mágico enviado ao seu e-mail (e, quando disponível, por conta Google). Não existe senha para vazar, reaproveitar ou adivinhar. Cada página e cada rota confere a sessão antes de devolver qualquer dado, e todo acesso a um documento verifica se a empresa pertence à conta que está pedindo.

Assinatura vencida ou cancelada pausa a busca por documentos novos na SEFAZ — nunca o acesso ao que já foi guardado. Download e exportação continuam liberados enquanto a conta existir. Quando você remove uma empresa, o certificado, os documentos e o histórico são apagados de verdade, inclusive os arquivos no armazenamento.

Somos uma operação pequena e honesta sobre isso: a XSafe ainda não possui certificação formal de segurança (como ISO 27001) nem auditoria externa. O que está descrito aqui é o comportamento real do sistema, e esta página será atualizada se algo mudar.

Dúvidas sobre segurança ou privacidade? Veja também a política de privacidade.