Evidência suficiente
O requisito aplicável possui prova válida e vinculada ao release avaliado.
Trust Center · estágio inicial
Trust Center do ZUNVIO: confiança sustentada por evidência.
Este espaço separa o que já pode ser verificado do que ainda é compromisso de implantação. Nenhum item planejado é apresentado como capacidade disponível.
ESTADO DESTA SUPERFÍCIE
Publicado · zunvio-score 0.1.15
Sem formulário, analytics ou coleta de dados nesta página.
Mapa de evidências
O que existe hoje.
- Produto
- Disponível CLI local read-only (npx zunvio-score) Ver a distribuição pública ↗
- Metodologia
- Documentada Decisão fail-closed Ver como ler o resultado ↗
- Proveniência
- Parcial Evidence Pack ligado ao release Ver o schema ↗
- Canal de segurança
- Ativo, sem SLA formal security@somosmass.com
- SBOM e atestações
- PlanejadoNão publicado. Somente para artefatos distribuídos.
- Termos de uso
- Publicados Uso gratuito, inclusive comercial; código proprietário Ler os termos ↗
- Status operacional
- Não aplicávelNão há serviço hospedado
Metodologia pública
O que é verificado, sem revelar como contornar.
O método público explica estados, portões, proveniência e limites. O código e as regras que executam o método estão no pacote distribuído.
Falha comprovada
A evidência demonstra um bloqueador ou uma condição incompatível com a publicação.
Ausência não vira sucesso
Falta de evidência, cobertura ou conclusão do motor mantém a decisão fail-closed.
Exceção justificada
O requisito está fora do contexto e precisa de justificativa auditável.
Segurança
Publicação por allowlist, nunca por acidente.
Cada release é montada a partir de um commit identificado do repositório interno, só com o que o pacote precisa para executar a análise: código, regras, exemplos de demonstração e README. A suíte interna de testes e os corpora de validação ficam fora.
01
Montar o pacote a partir de um commit identificado, pela lista de arquivos do pacote.
02
Varrer segredos no conteúdo do pacote antes de publicar (o único valor detectado é um token sintético de demonstração).
03
Validar o pacote como usuário externo, em perfil limpo, antes de publicar.
04
Publicar no npm exatamente o arquivo validado, com checksum conferido.
05
Espelhar no repositório público zunvio-free o mesmo conteúdo do pacote.
Canal ativo, sem SLA formal
Relatos de vulnerabilidade ou incidente de segurança vão direto para security@somosmass.com, caixa monitorada. Ainda não existe SLA formal de resposta: se não houver retorno em prazo razoável, o relato entra no registro interno de incidentes como fallback, para não se perder. Este canal ainda não passou por um processo formal de responsible disclosure nem por programa de bug bounty.
Privacidade e tratamento
O mínimo necessário, no lugar certo.
Zero coleta
Não há formulário, analytics, cookies, trackers, chamadas de API ou dependência remota. Todo o conteúdo funciona localmente.
Análise local
O repositório é analisado no ambiente local e permanece inalterado. Não há
backend, conta ou armazenamento hospedado. Na primeira execução, a CLI baixa o
Gitleaks (GitHub) e o Semgrep (PyPI) para ~/.zunvio. A análise do
código-fonte ocorre localmente, e o ZUNVIO não envia intencionalmente o conteúdo
do código analisado aos serviços da MASS. Ferramentas de terceiros (npm, Semgrep,
Gitleaks) têm comportamento próprio; o ZUNVIO executa o Semgrep com a telemetria
desligada.
Política antes da função
Qualquer serviço hospedado exigirá política específica de finalidade, retenção, exclusão, acesso e incidentes antes de receber dados de cliente.
Versões e procedência
Produto e formato de evidência têm versões próprias.
- CLI publicado
- zunvio-score 0.1.15 Ver a versão exata no npm ↗
- Checksum do pacote (sha1,
dist.shasumdo registro npm) 9ef873755831c6cde99bd92d8066c19e22223ec2- Conteúdo público correspondente (zunvio-free)
-
1b5db2fVer no GitHub ↗ - Evidence Pack / schema
- 0.7.0 (0.8.0 quando há revisão humana registrada) Ver o schema ↗
- Estado da página
- Publicada
A versão do produto não é a versão do schema. O pacote acima é o que o
npx zunvio-score instala, com checksum verificável no registro
npm. Ainda não há assinatura, SBOM ou atestação do pacote.
Changelog
Histórico de releases realmente publicadas.
Cada entrada só existe se houver versão publicada no registro npm, com commit e checksum verificáveis. Nenhuma versão anterior é inventada para simular um histórico maior do que o real.
Versões 0.1.0 a 0.1.14 também estão publicadas no npm, mas sem descrição de release vinculada nesta página. Este changelog cresce a partir daqui, release real por release real.
Fronteira público × privado
O que é distribuído e o que não é.
O ZUNVIO executa a análise localmente no ambiente do usuário. O pacote distribuído contém o código e as regras necessários para executar essa análise. O repositório interno de desenvolvimento, a suíte interna de testes e os corpora de validação não fazem parte da distribuição pública. Isso é modelo de distribuição e propriedade, não garantia de segurança do resultado.
| Superfície | Classe | Tratamento |
|---|---|---|
| Pacote npm (código e regras de execução) | PUBLIC | Publicado a cada release e espelhado em zunvio-free |
| Schema do Evidence Pack | PUBLIC | Dentro do pacote, versionado |
| Landing e políticas | PUBLIC-SANITIZED | Exportação dedicada e revisão |
| Repositório interno, suíte de testes e corpora de validação | PRIVATE | Fora da distribuição pública |
| Infraestrutura e segredos operacionais | PRIVATE | Acesso restrito |
Limites atuais
O que esta release ainda não tem.
- O Evidence Pack prova integridade e coerência internas, não a origem: não há assinatura.
- Não há artefato público assinado, SBOM publicada ou attestação externa.
- Não houve auditoria independente do produto.
- Não há serviço hospedado cujo uptime ou incidentes possam ser reportados.
- A disponibilização no GitHub, sozinha, não será tratada como selo de confiança.