A plataforma PSR do Grupo Pichet era uma API pública recebendo leads de parceiros vindos de uma duzia de portais imobiliarios externos - cada lead carregava dados pessoais (nome, email, telefone, projeto imobiliario) sob RGPD, e cada credencial mal gerida abria potencialmente a porta a um desvio de leads para a concorrencia. A protecao não podia ser um add-on, tinha que estar no design inicial.

Impus uma isolacao das credenciais por parceiro via Microsoft APIM (chaves API unicas por portal, permissoes delimitadas por escopo, rotacao sistematica via o ciclo de vida do APIM). Para os fluxos RGPD: HTTPS exclusivo, sem armazenamento persistente intermediario dos leads (o CRM comercial e a única fonte de verdade), validacao no gateway sobre formato e tamanho dos payloads, rejeicao imediata das requisicoes mal formadas. Conduzi uma auditoria de seguranca formal em 2023 que resultou em controles de acesso reforcados e atualizacao das regras de firewall. Em paralelo, instalei uma isolacao por papel sobre as credenciais internas para que cada operador so visse os parceiros sob sua responsabilidade.

Auditoria 2023 validada sem nao-conformidade major, confianca dos parceiros mantida durante 3 anos, e zero incidente de seguranca em todo o conjunto da operação - o que permitiu ampliar progressivamente o perimetro parceiro sem repassar por uma nova fase de evangelizacao interna.

Esse projeto instalou em mim uma revisao de seguranca como ciclo recorrente em vez de evento pontual. Hoje, em cada missao ACCENSEO que toca em dados regulados, rejogo o mesmo padrao: threat-modeling desde a fase de wireframe, isolacao por papel desde o design, auditoria externa pelo menos uma vez por ano. E o que permite defender contratos SLA diante de um cliente critico sem ter que justificar tudo a cada onda.

O SaaS contabil da ACCENSEO trata o que ha de mais sensivel: dados bancarios Open Banking DSP2 (3 provedores conectados em paralelo), KYC cliente, lancamentos contabeis sujeitos a auditoria, e-fatura 2026-2027 regulamentada pela DGFiP francesa. Antes mesmo de desenvolver uma feature, conduzi uma auditoria de seguranca das plataformas concorrentes: revelou varias falhas criticas em atores estabelecidos (IDOR permitindo ver dados de outro cliente, falhas KYC na verificacao de identidade). Eu não podia reproduzir esses erros.

Construi a seguranca antes do código aplicacional. Threat model IDOR + KYC colocado em cada feature que toca dados de cliente, controle de acesso por 6 papeis diferenciados (Admin, Colaborador, Consultor, Contador, Contabilidade, Banco) cabeado via Better Auth com MFA completo (email, TOTP, SMS) e tokens de login contabil dedicados. Nos fluxos regulados, conectei o EDI Teledec (parceiro autorizado DGFiP) para as teledeclaracoes TVA / IS / CFE / DAS2 / PAS, e integrei o Open Banking DSP2 em 3 provedores (GoCardless/Nordigen, Bridge, Qonto) com respeito estrito aos consentimentos. Para a fatura eletronica, construi o pipeline DGFiP v3.1 já em 2025 antes do mandato 2026-2027. Documentei também cada escolha de seguranca em ADRs versionados para que sobrevivam ao crescimento da equipe.

Baseline de conformidade atingida antes do prazo regulatorio 2026-2027, pronto para rollout sem reescrita de seguranca de emergencia, e plataforma comercializavel junto a escritorios contabeis e PMEs francesas sem depender de auditoria externa a cada ciclo.

Nesse projeto entendi que a conformidade regulatoria bem feita vira moat de produto: concorrentes que têm falhas IDOR ou KYC não podem atacar meu segmento sem reescrever sessoes inteiras. E exatamente a postura que quero empurrar no próximo papel CTO scale-up em industria regulada - transformar a regulacao em barreira de entrada em vez de em peso.

Na refatoracao da Fleurance Nature em 2017, Magento Enterprise Edition 1.10 carregava a responsabilidade PCI-DSS do e-commerce da empresa (pagamento online em 3 storefronts, 4 grupos de clientes, 12 matrizes tarifarias). Com 60 modulos custom e 1.040 arquivos PHP modificados, o risco de introduzir uma regressao de seguranca a cada release era permanente - e qualquer vazamento de dados de cartao teria custado a conformidade PCI ao grupo.

Impus em cada modulo custom o respeito estrito aos padroes PCI-aware: nenhum armazenamento de dados de cartao no lado Magento (delegacao total ao prestador de pagamento certificado), uso sistematico dos padroes Observer / Strategy para nunca tocar no core do Magento - o que impede a introducao inesperada de um ponto de captura - e suite de regressao de seguranca completa antes de cada release. No lado OWASP Top 10, enquadrei a prevencao XSS nas contribuicoes UGC, o isolamento das sessoes multi-store, e a validacao estrita das entradas em todos os formularios custom.

Zero incidente de seguranca em produção na migracao e ao longo dos 5 anos de operação seguintes, conformidade PCI mantida durante todo o processo, e o cache Varnish ficou operacional sem introduzir bypass de autenticacao.

Nesse projeto, instalei em mim a seguranca como revisao diaria em vez de auditoria anual. E esse reflexo que me permite hoje negociar clausulas contratuais IT (DPA, SCCs, SLA, reversibilidade) diretamente na ACCENSEO sem passar por juridico externo nas negociacoes correntes - porque sei o que estou assinando.