O Duda Vibe combina a segurança da plataforma gerenciada pela Duda com controles de segurança que os proprietários de projetos podem utilizar em seus próprios sites e aplicativos.
Algumas proteções já estão integradas à plataforma Vibe e não exigem configuração. Outros controles, como autenticação, permissões e gerenciamento de segredos, estão à disposição dos proprietários de projetos de acordo com as necessidades de cada projeto.
Os projetos do Vibe são isolados uns dos outros no nível da plataforma.
Cada projeto tem acesso apenas aos seus próprios recursos, o que ajuda a impedir que um projeto acesse os dados, as credenciais ou o ambiente de execução de outro projeto.
Esse isolamento é garantido pela plataforma Vibe, em vez de depender apenas do código gerado para o projeto.
Quando o Vibe oferece suporte a um recurso gerenciado pelo Duda, as funções sensíveis à segurança podem utilizar esse recurso, em vez de serem implementadas inteiramente em código gerado.
Alguns exemplos incluem:
-
Formulários. Os envios utilizam o serviço de formulários gerenciado da Duda, incluindo proteção integrada contra spam e o tratamento padrão de dados de formulários da Duda.
-
Loja e carrinho. Os fluxos de comércio compatíveis utilizam os recursos gerenciados de loja e carrinho da Duda, mantendo as partes confidenciais do fluxo de compra dentro da plataforma Duda (em breve).
-
Autenticação. Os fluxos de login compatíveis utilizam a autenticação gerenciada pela Duda, em vez de exigir que o projeto implemente seu próprio sistema de autenticação.
O uso de componentes de plataforma gerenciada reduz a quantidade de funcionalidades relacionadas à segurança que precisam ser geradas especificamente para cada projeto.
O Vibe não permite que os projetos instalem pacotes de software arbitrários.
Os pacotes disponíveis para os projetos Vibe são gerenciados centralmente pela Duda e incluídos no inventário de software e na Lista de Componentes de Software (SBOM) da Duda.
A Duda monitora os pacotes suportados em busca de vulnerabilidades conhecidas como parte de seu processo de gerenciamento de vulnerabilidades e atualiza as dependências da plataforma com base na gravidade e no risco.
Isso significa que os responsáveis pelos projetos não precisam selecionar nem manter, por conta própria, os pacotes de software incluídos no Vibe.
Os projetos do Vibe são executados em uma infraestrutura gerenciada pela Duda.
Os projetos publicados (em domínios personalizados) são disponibilizados via HTTPS, e os certificados SSL são gerenciados pela Duda. Os proprietários dos projetos não precisam obter nem manter os certificados por conta própria. Para mais detalhes, consulte SSLs (HTTPS).
Os proprietários dos projetos controlam quem pode acessar e trabalhar em seus projetos do Vibe por meio das permissões da conta e do projeto no Duda, da mesma forma que ocorre em outros sites do Duda. Para mais detalhes, consulte Gerenciar membros da equipe e Gerenciar clientes.
Para os clientes, a edição e a publicação são permissões distintas, o que permite que as organizações controlem quem pode fazer alterações e quem pode publicar essas alterações.
Para projetos que exigem que os usuários façam login, o Vibe oferece recursos de autenticação gerenciados pela Duda.
As funções de autenticação compatíveis incluem login do usuário, criação de conta, redefinição de senha, sessões e login pelo Google.
Os proprietários de projetos também podem definir funções que podem ser utilizadas por seus aplicativos para controlar o acesso a funcionalidades protegidas.
O Vibe oferece armazenamento gerenciado para chaves de API e outros segredos utilizados por um projeto.
Os segredos são armazenados separadamente do código do aplicativo e são disponibilizados ao aplicativo somente quando necessário. Os valores dos segredos não são fornecidos ao modelo de IA como parte do processo normal de geração de código.
Os proprietários dos projetos continuam sendo responsáveis por limitar as permissões de quaisquer credenciais de terceiros que adicionarem a um projeto.
O código gerado por IA pode conter defeitos de software, incluindo vulnerabilidades de segurança.
O Vibe utiliza modelos de IA com mecanismos de segurança integrados, destinados a reduzir a geração de código prejudicial ou abusivo. O Vibe também reduz os riscos ao utilizar serviços gerenciados da Duda para funções sensíveis à segurança que são suportadas e ao restringir os pacotes de software que os projetos podem utilizar.
No entanto, atualmente o Vibe não realiza uma verificação específica de vulnerabilidades no código-fonte gerado para cada projeto.
Os responsáveis pelos projetos devem, portanto, levar em consideração a sensibilidade e a finalidade de sua aplicação ao decidir se é apropriado realizar uma revisão ou testes adicionais antes da publicação.
A Vibe opera como parte da plataforma gerenciada e do programa de segurança da Duda.
Duda afirma:
-
Certificação SOC 2 Tipo II, confirmada por uma auditoria independente.
-
ISO 27001:2022 com certificação própria da Duda.
-
Em conformidade com o GDPR e a CCPA, com o apoio do Adendo de Tratamento de Dados da Duda.
-
Testes de penetração realizados anualmente por equipes externas.
-
Criptografia de dados em repouso e em trânsito.
Informações adicionais sobre o programa mais abrangente de segurança e conformidade da Duda estão disponíveis no Trust Center da Duda.