Como protegemos sua conta

Boas práticas pra senha, 2FA, gestão de sessões e o que a KineoPass faz no nosso lado.

A proteção da sua conta tem dois lados: o que a KineoPass faz (criptografia, antifraude, monitoramento) e o que você faz (senha forte, atenção a phishing, gerenciar sessões).

Sua senha nunca é armazenada em texto puro. A gente guarda hash bcrypt (algoritmo padrão da indústria pra senhas) com salt único por usuário. Em caso hipotético de vazamento do banco, recuperar senha seria computacionalmente impraticável.

Detecção de força bruta

Tentativas de login com senha errada são limitadas. Após algumas falhas seguidas, a conta é bloqueada por 15 minutos.

Pra logins em dispositivos novos ou de geografia atípica, mandamos e-mail "Novo login na sua conta" com IP, navegador e data.

Se não foi você, troque a senha imediatamente.

Sessão segura

Cookie de sessão HTTPOnly + Secure + SameSite — protege contra ataques XSS e CSRF.
Sessão expira após inatividade prolongada (cerca de 30 dias).
Logout encerra sessão imediatamente em todos os dispositivos.

O que VOCÊ deve fazer

Senha forte

Pelo menos 10 caracteres.
Misture letras maiúsculas, minúsculas, números e símbolos.
Evite senhas óbvias (nome, data de nascimento, "123456").
Não reuse a mesma senha de outras plataformas. Use gerenciador de senhas (1Password, Bitwarden, gerenciador do navegador).

2FA (autenticação de dois fatores)

Em breve 2FA via app autenticador (Google Authenticator, Authy) e via SMS estão no roadmap. Não disponível no MVP. Quando sair, ativar via Editar dados cadastrais → Segurança.

Atenção a phishing

E-mails fraudulentos imitando a KineoPass são raríssimos mas existem. Sinais:

Remetente não termina em @kineopass.com.br. E-mails legítimos sempre vêm de domínio Kineo.
Pressa artificial ("ação requerida em 1 hora ou conta será deletada"). A gente nunca opera assim.
Links suspeitos. Passe o mouse antes de clicar — URL legítima é kineopass.com.br ou ajuda.kineopass.com.br.
Pedindo senha por e-mail. A KineoPass NUNCA pede senha por e-mail.

Em dúvida, não clique no link do e-mail — vá direto pra kineopass.com.br digitando no navegador.

Logout em computador compartilhado

Se você usa a KineoPass em computador público (lan house, biblioteca, computador de amigo), sempre faça logout ao terminar. Não basta fechar o navegador.

O que fazer se a conta foi invadida

Sinais de invasão:

Login que você não fez.
Inscrições no seu nome em eventos que você não comprou.
Dados cadastrais alterados.
Senha que você não trocou parou de funcionar.

Ação imediata:

Tente recuperar senha com seu e-mail.

Se o e-mail também foi comprometido, abra chamado em contato@kineopass.com.br com cópia do seu documento e descrição da situação.

A KineoPass investiga (logs de acesso, dispositivos), reverte alterações indevidas, reseta credenciais.

Inscrições fraudulentas no seu nome são canceladas com reembolso.

A KineoPass nunca pede sua senha por e-mail, telefone ou mensagem. Se receber pedido assim, é fraude — não responda. Reporte pra gente em contato@kineopass.com.br.