---
title: "Segurança que você pode verificar | Tajo"
description: "O modelo de segurança da Tajo está embutido no produto: publicação vinculada a um digest, atestação em tempo de execução, um log de auditoria encadeado por hash, regras de consentimento que bloqueiam por padrão em caso de dúvida, e portões de aprovação em cada ação de risco."
url: https://tajo.io/pt/security/
markdown: https://tajo.io/pt/security.md
lang: pt-BR
alternates: {en-US: /security.md, bg-BG: /bg/security.md, cs-CZ: /cz/security.md, de-DE: /de/security.md, da-DK: /dk/security.md, es-ES: /es/security.md, fr-FR: /fr/security.md, el-GR: /gr/security.md, hr-HR: /hr/security.md, hu-HU: /hu/security.md, it-IT: /it/security.md, ja-JP: /jp/security.md, ko-KR: /kr/security.md, ar-SA: /ar/security.md, nl-NL: /nl/security.md, no-NO: /no/security.md, pl-PL: /pl/security.md, ro-RO: /ro/security.md, ru-RU: /ru/security.md, sv-SE: /se/security.md, zh-CN: /zh-cn/security.md, sl-SI: /sl/security.md, sr-Latn-RS: /sr/security.md, th-TH: /th/security.md, tr-TR: /tr/security.md, ur-PK: /ur/security.md, vi-VN: /vi/security.md, sk-SK: /sk/security.md}
---

# Segurança que você pode verificar no produto

Não é um mural de selos. Cada garantia desta página é um mecanismo que você pode inspecionar, testar e auditar dentro da própria Tajo.

A Tajo é um sistema agentic que cria e executa integrações sobre os dados dos seus clientes. Esse é exatamente o tipo de software que deveria ter que provar que se comporta corretamente, então embutimos a prova diretamente no runtime. Em vez de pedir que você confie em uma página de certificações, a Tajo torna suas garantias principais aplicáveis e verificáveis dentro do próprio produto: as aprovações são vinculadas criptograficamente ao que aprovam, a execução atesta o que realmente rodou, o log de auditoria é à prova de adulteração, e tudo o que não consegue provar que tem permissão para rodar, não roda.

## Publicação vinculada a um digest

Quando uma pessoa aprova uma integração, a aprovação fica vinculada a um digest criptográfico da configuração exata. O runtime só executa o que corresponde a esse digest: o que você aprovou é, comprovadamente, o que roda.

## Atestação em tempo de execução

Cada execução atesta o digest publicado sob o qual rodou. Se a configuração em execução e a configuração aprovada chegarem a divergir, a execução para. Não existe um “suficientemente parecido”.

## Log de auditoria encadeado por hash

Cada entrada de auditoria é encadeada ao hash da anterior. Remover ou editar um registro quebra a cadeia de forma visível. O histórico do que rodou, quem aprovou e o que foi afetado é à prova de adulteração por construção.

## Consentimento que bloqueia por padrão em caso de dúvida

Uma sincronização que não consegue provar consentimento para os registros que moveria não roda. Não “roda com um aviso”: não roda. O consentimento é uma precondição imposta pelo runtime, não uma caixinha marcada numa página de configurações.

## Prévias que mostram apenas a forma

Quando o agente faz amostragem dos seus dados para redigir uma integração, as prévias mostram a forma dos registros: nomes e tipos de campo, nunca os valores. Os dados dos seus clientes não são material de rascunho.

## Ações de risco protegidas por aprovação

Ações que gravam em sistemas externos ficam atrás de portões de aprovação. Cada aprovação é de uso único, vinculada às entradas exatas para as quais foi concedida, e expira. Uma aprovação não pode ser reproduzida nem reutilizada para um payload diferente.

## Bloqueio por padrão em caso de dúvida

O fio condutor do design da Tajo: quando o sistema não consegue provar que uma ação é segura e aprovada, a ação não acontece.

### Limites de orçamento

Os limites de orçamento que você define cobrem o gasto dos agentes com modelos e os envios de mensagens. Ao atingir um limite rígido, a próxima chamada ao modelo não roda e um envio para antes do próximo lote. As sincronizações de dados não são medidas contra os limites de orçamento.

### Sem alternativas silenciosas

Quando uma verificação de segurança não pode ser avaliada, consentimento não comprovável, digest incompatível, aprovação expirada, a resposta padrão é a recusa. O sistema prefere não fazer nada a fazer algo que você não autorizou.

### A aprovação humana é o portão

O agente redige e valida; ele não concede permissão a si mesmo. A publicação e as gravações de risco exigem uma decisão humana, e essa decisão fica vinculada ao conteúdo exato sobre o qual é tomada.

## O que você não vai encontrar aqui

Você não vai encontrar um mural de selos de conformidade nesta página. Achamos mais útil mostrar a você a engrenagem: peça para a gente te guiar pela cadeia de digests, pelos registros de atestação ou pelo log de auditoria durante uma sessão de acesso antecipado, e faremos isso, no seu próprio workspace, com seus próprios olhos sobre as evidências.

## Reportar uma vulnerabilidade

Se você acredita ter encontrado um problema de segurança na Tajo, queremos saber disso diretamente e com rapidez.

- E-mail: [security@tajo.io](mailto:security@tajo.io)
- Confirmamos o recebimento dos reportes e mantemos você informado enquanto investigamos.
- Pedimos um prazo razoável para correção antes de qualquer divulgação pública.

## Veja as garantias com seus próprios olhos

Participe do acesso antecipado e vamos mostrar a você a cadeia de aprovações, os registros de atestação e o log de auditoria funcionando em uma integração real.

## Esta página em Markdown: [security.md](https://tajo.io/pt/security.md)

Carregando o Markdown…

[Abrir no Claude](https://claude.ai/new) [Abrir no ChatGPT](https://chatgpt.com/)