← Segurança e confiança
REGISTRO DE ALTERAÇÕES DE SEGURANÇA

Registro de alterações de segurança

Um registro contínuo das melhorias de segurança que lançamos. Publicamos correções, não exploits. As entradas são apenas acrescentadas e permanecem publicadas para sempre.

2026-10-14Mais recente
Entradas longas avaliadas em janelas, cobradas pelo tamanho
  • Entradas longas em janelas: a API de análise avalia entradas com mais de 2.000 caracteres em até 20 janelas sobrepostas, sempre incluindo o final do texto, em vez de apenas os primeiros 512 tokens; assim, uma instrução escondida mais adiante em um resultado de ferramenta longo ou em um arquivo deixa de ficar fora do que o modelo lê. Entradas menores podem pedir isso com "long_input": "windows". Referência da API
  • Cobrança pelo tamanho: uma chamada cobre até 2.000 caracteres; cada 1.000 caracteres adicionais, ou fração deles, é mais uma chamada (20.000 caracteres são 19 chamadas). Cada resposta informa input_chars e billed_calls. Entradas de até 2.000 caracteres continuam sendo cobradas como antes. Cotas
2026-10-13
Autenticação em dois fatores e endereços de e-mail verificados
  • Autenticação em dois fatores e passkeys: as contas podem adicionar um aplicativo autenticador ou uma chave de segurança, e um login com passkey conta como segundo fator. É opcional em contas pessoais e obrigatório para membros de organizações e para quem o ativar. Criar ou exibir uma chave de API exige um login recente e, quando aplicável, o segundo fator. Segurança da conta
  • Somente endereços de e-mail verificados: um endereço só é uma identidade depois de verificado. Chaves de API, cobrança, uso, evidências e organizações recusam uma sessão com endereço não verificado, e o painel pede a verificação em vez de desconectar o usuário. Foi fechado o cadastro por uma conexão de banco de dados legada que nenhum aplicativo usava para cadastro.
  • E-mails de verificação do nosso próprio domínio: os e-mails da conta agora vêm de security@usezn.com e os links apontam para auth.usezn.com.
  • Revogação mais rápida: revogar uma chave de API ou um token de organização exige apenas um login recente, não um segundo fator; assim, uma chave vazada ou um notebook perdido podem ser bloqueados imediatamente.
  • Tokens de organização não podem ser bloqueados: segredos errados enviados com o id público de um token não suspendem mais esse token; eles geram um alerta e aparecem no registro de atividades da organização.
  • Alterações de cobrança exigem um segundo fator: o proprietário de uma organização precisa de autenticação em dois fatores para abrir o portal de cobrança, alterar assentos ou o limite do pagamento por uso, ou para tornar alguém administrador ou auditor.
  • Galvanize 2 na verificação na nuvem: desde 12 de outubro, a verificação opcional na nuvem usa o Galvanize 2; o Galvanize-60M continua como fallback automático. Detalhes
  • zn-gate 1.6.0: os hooks dos agentes também negam comandos de administração da zn escritos como chamada de pacote versionada (npx, pnpm dlx, bunx com zn-gate@<version>), que antes passavam. Aviso
  • zn-gate 1.5.1: no Windows, zn run inicia arquivos em lote somente pelo cmd.exe do sistema, de modo que um programa escolhido pelo ambiente não pode mais receber valores secretos. Em todas as plataformas, deixa de passar as configurações de inicialização do interpretador herdadas do ambiente de quem chama, como NODE_OPTIONS, para um programa que recebe segredos. Aviso
2026-10-09
Reforço da segurança de sessões
  • Revogação instantânea no servidor: uma época de revogação por usuário passa a invalidar os tokens emitidos antes no momento em que uma senha é alterada ou redefinida, ou quando o usuário escolhe “Sair de todos os dispositivos” — sem esperar a expiração dos tokens.
  • Validade menor dos tokens: os access tokens passam de 24 horas para 15 minutos, com rotação de refresh tokens e detecção de reutilização (um token copiado e reutilizado revoga toda a cadeia).
  • O logout reforça a sessão: um logout normal agora força a rotação do refresh token, de modo que um refresh token capturado antes deixa de ser útil.
  • Encerramento automático ao ser rejeitado: os clientes encerram a sessão imediatamente quando ela é rejeitada no servidor.
  • Domínio de autenticação próprio: login e logout agora rodam em auth.usezn.com, em vez de expor o tenant do provedor de identidade subjacente.
  • Tratamento de erros com a marca: erros de identidade agora exibem uma página com a marca da usezn, e sessões expiradas levam à página de login com um aviso claro de “sessão expirada”, em vez de um redirecionamento quebrado.

Obrigado aos pesquisadores independentes creditados no nosso Hall da Fama de Segurança — relatos como os deles são a razão de essas melhorias acontecerem. Encontrou algo? Escreva para security@usezn.com.