POLÍTICA DE SEGURANÇA DA HOSTYDOMAIN

Versão: 2.0 (Alinhada com ISO 27001 e NIST Cybersecurity Framework)
Última atualização: 07 de maio de 2026
Classificação do documento: Público (resumo das práticas) / Interno (detalhes operacionais restritos)
Aprovado por: Cláudio Pedro Ernesto (DPO / Responsável de Segurança)

Informações de Contacto de Segurança

PREÂMBULO

A HostyDomain – Cláudio Pedro Ernesto Lda reconhece que a segurança da informação é um pilar fundamental para a confiança dos seus clientes. Esta Política de Segurança descreve as medidas técnicas, organizacionais e físicas implementadas para proteger a confidencialidade, integridade e disponibilidade (tríade CID) dos dados armazenados nos nossos sistemas.

Público-alvo: Todos os clientes, parceiros e visitantes do site HostyDomain.

Documentos relacionados: Política de Privacidade, Termos de Serviço, Política de Cookies, Política GDPR, Plano de Resposta a Incidentes (documento interno).

1. OBJETIVO E ÂMBITO

1.1 Objetivos Estratégicos

1.2 Âmbito de Aplicação

Esta política aplica-se a:

• Todos os sistemas da HostyDomain (servidores de hospedagem, VPS, domínios, infraestrutura de rede)

• Funcionários e colaboradores (acesso interno)

• Fornecedores e subprocessadores (parceiros com acesso a dados)

• Clientes (na medida das responsabilidades partilhadas)

2. PRINCÍPIOS FUNDAMENTAIS DE SEGURANÇA

3. MEDIDAS DE SEGURANÇA IMPLEMENTADAS

3.1 Segurança de Servidores (Camada de Infraestrutura)

3.2 Proteção de Dados (Camada de Dados)

3.3 Segurança de Contas de Utilizador (Camada de Autenticação)

3.4 Backups e Recuperação de Desastres (Disaster Recovery)

⚠️ Nota importante para clientes: Os backups são uma proteção adicional, mas o cliente é o principal responsável por manter as suas próprias cópias de segurança. Recomendamos backups externos adicionais (ex.: download manual, plugin de backup como UpdraftPlus, exportação de bases de dados).

4. GESTÃO DE ACESSOS (ACESSO A SISTEMAS INTERNOS)

4.1 Princípio do Menor Privilégio (Least Privilege)

Os funcionários da HostyDomain têm acesso apenas aos sistemas estritamente necessários para as suas funções:

4.2 Controlos de Acesso Interno

5. SEGURANÇA DA REDE

5.1 Arquitetura de Rede

[Internet]
    │
    ▼
[Cloudflare CDN/WAF] → Proteção DDoS, firewall de aplicação, filtragem
    │
    ▼
[Firewall de Borda (Edge)] → Filtragem de tráfego, NAT, ACLs
    │
    ├──────────────┬──────────────┬──────────────┐
    ▼              ▼              ▼              ▼
[DMZ]        [Web Servers]   [DB Servers]   [Backup Storage]
(acesso público) (aplicação)   (acesso restrito) (isolado)

5.2 Medidas de Segurança de Rede

5.3 Portas e Protocolos Permitidos (Servidores de Hospedagem)

6. RESPONSABILIDADES DO CLIENTE (MODELO DE RESPONSABILIDADE PARTILHADA)

6.1 Boas Práticas Recomendadas aos Clientes

✅ Faça:

• Use palavras-passe únicas e fortes (gestor de palavras-passe recomendado: Bitwarden, 1Password, KeePass)

• Ative 2FA (autenticação de dois fatores) no painel de controlo da HostyDomain

• Mantenha WordPress, plugins e temas sempre atualizados

• Realize backups externos regulares (Download manual, UpdraftPlus, Jetpack Backup)

• Utilize HTTPS em todos os seus sites (certificados SSL gratuitos disponíveis)

• Monitore os logs de acesso do seu site (ex.: Wordfence para WordPress)

• Reporte imediatamente qualquer atividade suspeita para security@hostydomain.com ou +258 87 869 1490

❌ Não faça:

• Nunca partilhe as suas credenciais de acesso com terceiros não autorizados

• Não utilize palavras-passe padrão ou facilmente adivinháveis (“admin123”, “password”, etc.)

• Não instale plugins/temas piratas ou de fontes não confiáveis

• Não ignore notificações de segurança do seu CMS

• Não utilize FTP não encriptado (use SFTP ou FTPES)

7. RESPOSTA A INCIDENTES DE SEGURANÇA

7.1 Classificação de Incidentes

7.2 Procedimento de Resposta (6 Fases)

7.3 Notificação a Clientes e Autoridades (GDPR/Art. 33-34)

7.4 Contacto para Reportar Incidentes

Se suspeita de comprometimento da sua conta ou servidor:

1. Contacte imediatamente: security@hostydomain.com ou +258 87 869 1490 (WhatsApp/Telefone – urgente)

2. Informe: seu nome, domínio afetado, descrição do incidente

3. Não altere os sistemas afetados antes da análise (pode destruir evidências)

4. Mantenha-se disponível para que a equipa de segurança possa investigar

8. GESTÃO DE VULNERABILIDADES E ATUALIZAÇÕES

8.1 Programa de Gestão de Vulnerabilidades

8.2 Política de Atualizações

8.3 Reporte de Vulnerabilidades por Terceiros (Bug Bounty)

A HostyDomain acolhe responsavelmente reportes de vulnerabilidades por investigadores de segurança.

Como reportar:

• Envie um e-mail para: security@hostydomain.com

• Assunto: [Vulnerabilidade] – [descrição resumida]

• Conteúdo: descrição detalhada, passos para reproduzir, impacto potencial, sugestão de correção

Política de divulgação responsável:

• ✅ Damos crédito público ao investigador (se autorizado)

• ✅ Não tomamos medidas legais contra reportes de boa fé

• ❌ Não aceitamos testes destrutivos (DDoS, modificação de dados, acesso a outras contas)

• ❌ Não pagamos recompensas financeiras (por enquanto – programa em avaliação)

9. SEGURANÇA FÍSICA (DATACENTERS)

A HostyDomain utiliza datacenters de fornecedores de nível empresarial (ex.: DigitalOcean, AWS, ou parceiros locais) que implementam:

Nota: A HostyDomain não opera os seus próprios datacenters físicos. A segurança física é da responsabilidade dos nossos provedores de infraestrutura, que são auditados anualmente (certificações SOC 2, ISO 27001).

10. CONFORMIDADE E AUDITORIAS

10.1 Certificações e Frameworks de Referência

10.2 Auditorias Realizadas

11. LIMITAÇÃO DE RESPONSABILIDADE (SEGURANÇA)

Apesar de todas as medidas implementadas (defesa em profundidade, monitorização 24/7, encriptação, atualizações constantes), nenhum sistema é 100% seguro (princípio de segurança informática). A HostyDomain não pode garantir:

• Proteção contra ataques de dia zero (vulnerabilidades desconhecidas)

• Imunidade contra engenharia social (phishing dirigido ao cliente, não aos nossos sistemas)

• Segurança se o cliente não seguir as boas práticas (palavras-passe fracas, plugins desatualizados)

• Indemnização por lucros cessantes ou perda de dados atribuível a caso fortuito ou força maior

Termos contratuais: A limitação de responsabilidade financeira está detalhada nos Termos de Serviço (Secção 9) . Em caso de conflito, prevalecem os Termos de Serviço.

12. CANAIS DE COMUNICAÇÃO DE SEGURANÇA (RESUMO)

PGP Fingerprint: [a publicar brevemente – para comunicações encriptadas de alta sensibilidade]

13. ALTERAÇÕES A ESTA POLÍTICA

A HostyDomain pode atualizar esta Política de Segurança sempre que necessário para refletir:

• Mudanças na infraestrutura ou nos serviços oferecidos

• Novas ameaças ou vulnerabilidades identificadas

• Atualizações legais ou regulatórias

• Melhorias contínuas baseadas em auditorias

Política de notificação:

• Alterações significativas (ex.: novas medidas obrigatórias para clientes): e-mail + aviso no painel de controlo

• Alterações menores (ex.: clarificações de texto): apenas atualização da data no topo

A versão mais recente está sempre disponível em: https://hostydomain.com/security-policy

14. DECLARAÇÃO DE COMPROMISSO

A HostyDomain – Cláudio Pedro Ernesto Lda compromete-se a:

✅ Investir continuamente em segurança da informação
✅ Ser transparente sobre incidentes que afetem os clientes
✅ Cumprir as leis de proteção de dados aplicáveis
✅ Tratar com seriedade e rapidez qualquer reporte de vulnerabilidade
✅ Melhorar as suas práticas com base em auditorias e feedback

Porque a sua confiança é o nosso ativo mais valioso.

HostyDomain – Segurança em todas as camadas.
🌐 https://hostydomain.com | 📞 +258 87 869 1490 | 📧 security@hostydomain.com
📍 Rua Krus Gomes, Beira, Sofala 2100, Moçambique

ANEXO A – GLOSSÁRIO DE SEGURANÇA

Fim da Política de Segurança da HostyDomain – versão 2.0

Resumo das melhorias implementadas: