Fluxo de dados das avaliações
Uma avaliação controlada começa com a criação, no banco de dados, das identidades de execução (run) e de tentativa (attempt). Os artefatos de processo de alto volume se destinam ao armazenamento privado de objetos, enquanto o PostgreSQL guarda o status, resultados compactos, fatos de publicação, registros de auditoria e os metadados do manifesto de artefatos.
Requisições, respostas, traces, logs, capturas de tela e anexos brutos não são payloads do diretório público. As páginas públicas leem apenas snapshots analisados, versionados e com dados sensíveis removidos.
Credenciais e alvos de teste
As credenciais das revendas devem ser representadas por referências protegidas a segredos e disponibilizadas apenas a processos de servidor ou de worker autorizados. O navegador não recebe segredos das revendas, credenciais do PostgreSQL nem credenciais do armazenamento de objetos.
Os alvos de avaliação estão sujeitos a restrições de protocolo, porta, DNS, redirecionamento, tamanho de resposta, timeout e rede privada. O Folkbench não pode se tornar um proxy de rede arbitrário.
Contas e sessões
Quando o recurso estiver ativado, o login usa uma sessão emitida pelo Folkbench depois que um provedor de identidade configurado conclui seu fluxo. Os cookies de sessão são emitidos pelo servidor e protegidos; os tokens de acesso do provedor não são armazenados como credenciais do aplicativo. As funções de revendedor e de operações permanecem separadas da autenticação comum.
Análises opcionais
Por padrão, o Folkbench ativa uma análise de produto própria e limitada para entender o uso dos recursos, diagnosticar problemas e melhorar o serviço; ela não é usada para criar perfis entre sites ou plataformas. O esquema de eventos exclui texto de pesquisa, e-mail, URLs completas, endereços IP, gravação de sessão e captura automática de cliques. Se o envio externo estiver ativado, os mesmos campos podem ser enviados ao PostHog US Cloud.
Limites dos serviços de terceiros
O Folkbench pode depender de hospedagem, PostgreSQL gerenciado, armazenamento privado de objetos, provedores de identidade, análise, e-mail e — somente se ativados separadamente — provedores de pagamento. Cada provedor recebe apenas as informações necessárias para sua função e permanece sujeito aos próprios termos e responsabilidades de segurança. As páginas públicas também carregam a tag do Google Ads AW-18459159949 para medir visitas e conversões de anúncios.
Relatar um problema de segurança
Use a página de contato e indique no assunto “Folkbench security report”. Inclua uma descrição concisa do impacto e etapas seguras de reprodução. Não envie por e-mail senhas, chaves de API, evidências privadas brutas, dados pessoais nem payloads de exploração ativos.