Segurança

Revisado em: 26 de agosto de 2026

Esta página descreve os controles confirmados na revisão de 26 de agosto de 2026, os fornecedores visíveis no site público, os dados que podem transitar durante o uso do chat e cuidados recomendados aos usuários. Nenhum site ou fornecedor pode garantir segurança absoluta.

O Site GPT é uma plataforma independente de conversa com inteligência artificial em português brasileiro. O Site GPT não é o ChatGPT oficial, não é operado pela OpenAI, não representa a OpenAI e não administra contas, assinaturas, cobranças, histórico, suporte, limites ou configurações do produto oficial da OpenAI.

O chat do Site GPT utiliza a API da OpenAI para processar as mensagens digitadas pelos usuários e gerar respostas. Esse uso da API da OpenAI não transforma o Site GPT em produto oficial da OpenAI e não cria vínculo societário, comercial, institucional, operacional, de patrocínio, endosso, revenda, certificação, representação ou parceria oficial com a OpenAI.

Esta é uma página técnica e informativa. Para entender o tratamento de dados pessoais com mais detalhes, consulte também a nossa Política de Privacidade e os nossos Termos de Uso.

Resumo importante: o armazenamento do histórico fica desativado por padrão. Quando ativado pelo usuário, a conversa visível é mantida temporariamente em sessionStorage, restrita à aba atual. Para gerar cada resposta, a mensagem atual e até seis rodadas anteriores — cada uma formada pela mensagem do usuário e pela resposta correspondente — são transmitidas à API da OpenAI. Um identificador pseudônimo gerado por HMAC também é enviado para limitação de uso e prevenção de abuso. O plugin não grava o texto das conversas no banco de dados do WordPress, mas servidores, infraestrutura, serviços de segurança e terceiros podem processar conteúdo enviado e dados técnicos. Portanto, não insira no chat senhas, documentos, dados bancários, prontuários, segredos comerciais, chaves de API, dados de menores ou informações confidenciais de terceiros.

1. Nossa Abordagem de Segurança

A segurança no Site GPT é construída sobre três princípios:

  • Minimização de dados: reduzimos a coleta e o armazenamento ao que é necessário para operar, proteger, melhorar e manter a plataforma.
  • Limites verificáveis: não afirmamos a existência de controles de rede, administrativos ou de monitoramento que não tenham sido confirmados nesta revisão.
  • Transparência: explicamos de forma clara quais dados podem ser tratados, quais fornecedores técnicos participam da operação e quais limitações existem.

Apesar dessas medidas, nenhum serviço conectado à Internet é totalmente imune a riscos. Por isso, segurança depende tanto de controles técnicos quanto de boas práticas dos usuários.

2. Como o Chat Funciona em Termos de Segurança

Para evitar qualquer dúvida, este é o fluxo simplificado do uso do chat:

  1. O usuário acessa o Site GPT por conexão protegida por HTTPS.
  2. A requisição passa pela infraestrutura que entrega o site; a configuração de filtros, WAF ou mitigação de DDoS não foi confirmada nesta revisão.
  3. A mensagem atual e até seis rodadas anteriores — cada uma formada pela mensagem do usuário e pela resposta correspondente — são encaminhadas à API da OpenAI para processamento.
  4. A resposta é devolvida à interface e exibida ao usuário.
  5. Se o usuário tiver ativado o histórico opcional, a conversa visível é mantida temporariamente em sessionStorage, apenas na aba atual.
  6. Um identificador pseudônimo gerado por HMAC também é enviado para limitação de uso e prevenção de abuso; outros dados técnicos podem ser tratados pela infraestrutura e pelos serviços aplicáveis.

A expressão “histórico nesta aba” refere-se somente ao conteúdo temporariamente mantido em sessionStorage quando o usuário ativa essa opção. Ela não significa que as mensagens deixem de transitar por servidores ou fornecedores técnicos.

3. Arquitetura de Segurança

O fluxo técnico abaixo distingue fatos confirmados de controles cuja configuração não foi verificada:

  • Borda da rede: o tráfego público passa por infraestrutura da Cloudflare; esta revisão não confirmou quais recursos de WAF ou mitigação de DDoS estão configurados.
  • Servidor de aplicação: existe uma área administrativa do WordPress. A integração de login do WordPress.com/2FA do Jetpack estava desativada na revisão; a presença de 2FA por outro mecanismo, políticas de privilégio e controles da hospedagem não foi confirmada.
  • Camada de processamento pela API da OpenAI: mensagens enviadas no chat são transmitidas, por conexão criptografada, à API da OpenAI para geração das respostas.
  • Armazenamento temporário na aba: quando ativado pelo usuário, o histórico visível fica em sessionStorage, restrito à aba atual.
  • Registros técnicos: logs de acesso, segurança, erro, disponibilidade e prevenção de abuso podem ser mantidos conforme necessidade operacional, obrigações legais e a Política de Privacidade.

4. Controles e limites da verificação

4.1 Criptografia em Trânsito

O acesso ao Site GPT é realizado por HTTPS, com criptografia TLS. Isso ajuda a proteger os dados em trânsito entre o navegador do usuário, a infraestrutura do site e os fornecedores técnicos envolvidos na operação, incluindo a transmissão das mensagens à API da OpenAI. O usuário pode verificar a conexão segura pelo cadeado do navegador e pelo prefixo https:// no endereço.

4.2 Entrega pela Cloudflare

O site público é entregue por infraestrutura da Cloudflare. Isso não comprova, por si só, quais filtros, regras de segurança ou produtos de proteção estão habilitados para este domínio.

Thinkly e o módulo Jetpack Stats foram desativados. O Cloudflare Web Analytics permanece ativo, conforme descrito nas políticas de privacidade e cookies.

4.3 WAF — configuração não confirmada

Esta revisão não confirmou se um WAF está habilitado nem quais regras seriam aplicadas. Em termos gerais, um WAF pode tratar categorias como as listadas abaixo; elas não são apresentadas como controles comprovados do Site GPT:

  • tentativas de injeção de código;
  • ataques de cross-site scripting;
  • exploração de falhas conhecidas em aplicações web;
  • requisições automatizadas abusivas;
  • padrões suspeitos de tráfego.

4.4 DDoS — configuração não confirmada

Esta revisão não confirmou um plano, produto ou configuração específica de mitigação de DDoS para o domínio.

4.5 Controles administrativos — verificação parcial

Na revisão administrativa de 26 de agosto de 2026, os módulos de proteção de conta e proteção contra ataques de força bruta do Jetpack estavam ativos. O monitor de indisponibilidade, o firewall e a integração de login do WordPress.com/2FA do Jetpack estavam desativados.

Esses dados não confirmam a presença ou ausência de 2FA por outro mecanismo, política de menor privilégio, revisão periódica de permissões, gestão de credenciais ou controles próprios da hospedagem.

4.6 Atualizações — política não verificada

A revisão não verificou uma política, frequência ou automação de atualizações para WordPress, plugins, bibliotecas, integrações ou hospedagem.

4.7 Backups — não confirmados

Não foi confirmada uma política de backup, sua periodicidade, seu escopo nem testes de restauração. Portanto, esta página não promete disponibilidade ou recuperação.

O plugin do chat não grava o texto das conversas no banco de dados do WordPress. Portanto, esse texto não integra eventuais cópias de segurança desse banco de dados. Isso não abrange conteúdo ou dados técnicos que possam ser processados ou registrados por servidores, infraestrutura, serviços de segurança, analytics ou pela OpenAI conforme suas funções e políticas aplicáveis. Para detalhes, consulte também a nossa Política de Privacidade.

4.8 Registros Técnicos

A infraestrutura de hospedagem, segurança, CDN, plugins e fornecedores aplicáveis pode processar registros técnicos para segurança, prevenção de abuso, diagnóstico de falhas, métricas operacionais, investigação de incidentes e cumprimento de obrigações legais. Os campos e prazos efetivos dependem do sistema ou fornecedor envolvido. Esses registros podem incluir, por exemplo:

Para limitação de uso e prevenção de abuso, o plugin utiliza um identificador técnico pseudônimo gerado por HMAC. Esse identificador não é o texto da conversa, não representa uma conta pessoal e não torna o acesso anônimo.

  • endereço IP;
  • data e hora de acesso;
  • URL acessada;
  • informações de navegador e dispositivo;
  • eventos técnicos de erro ou indisponibilidade;
  • metadados de segurança e prevenção de abuso.

Esses registros não têm como objetivo criar um perfil pessoal detalhado do usuário nem substituir o histórico temporário da aba. Eles existem para manter o serviço estável, seguro e auditável quando necessário.

5. Histórico Opcional em sessionStorage

O armazenamento do histórico fica desativado por padrão. Se o usuário ativar a opção, a interface mantém temporariamente a conversa em sessionStorage, restrita à aba atual.

  • o histórico não é sincronizado entre abas, navegadores ou dispositivos;
  • normalmente deixa de estar disponível quando a aba é encerrada;
  • pode ser removido pela interface ou pela limpeza dos dados do site;
  • outras pessoas com acesso à aba ou ao dispositivo podem visualizar o conteúdo enquanto ele estiver disponível;
  • extensões maliciosas, malware ou comprometimento do navegador podem expor dados da sessão;
  • o plugin do chat não grava o texto das conversas no banco de dados do WordPress.

Em dispositivo compartilhado, público ou de terceiros, limpe o histórico antes de encerrar a aba e evite inserir informações sensíveis.

6. Dados Enviados à API da OpenAI

Para gerar cada resposta, o Site GPT envia à API da OpenAI a mensagem atual e até seis rodadas anteriores — cada uma formada pela mensagem do usuário e pela resposta correspondente. Um identificador pseudônimo gerado por HMAC também é enviado para limitação de uso e prevenção de abuso. Esse contexto é enviado independentemente de o armazenamento opcional em sessionStorage estar ativado. O Site GPT utiliza a API da OpenAI para gerar as respostas exibidas no chat e não utiliza outro fornecedor de inteligência artificial para esse processamento.

Segundo a documentação pública da OpenAI sobre dados da API, dados enviados pela API não são usados por padrão para treinar ou melhorar os modelos da OpenAI, salvo quando há opção explícita de compartilhamento configurada pelo cliente.

A OpenAI também informa que registros de monitoramento de abuso podem conter conteúdo do cliente, como prompts e respostas, além de metadados derivados desse conteúdo, e que esses registros podem ser retidos por até 30 dias por padrão, salvo quando retenção maior for exigida por lei ou razoavelmente necessária para proteger os serviços da OpenAI ou terceiros contra danos.

Dependendo do endpoint, do modelo, do recurso usado e das configurações técnicas aplicáveis, alguns recursos da API também podem manter estado de aplicação por períodos específicos, conforme a documentação oficial da OpenAI. Por isso, o usuário deve evitar enviar conteúdo sensível, sigiloso ou desnecessário ao chat.

Também é importante observar que a Política de Privacidade da OpenAI informa que ela não se aplica ao conteúdo processado pela OpenAI em nome de clientes de ofertas empresariais, como a API. O tratamento desses dados é regido pelos acordos, termos, políticas e controles aplicáveis ao uso da API da OpenAI.

Como políticas, contratos, configurações, endpoints e recursos da OpenAI podem mudar, recomendamos que empresas, escolas, órgãos públicos e usuários com necessidades regulatórias consultem diretamente a documentação oficial da OpenAI e adotem orientação jurídica ou técnica antes de inserir dados sensíveis ou usar o serviço em contexto regulado.

Fontes oficiais recomendadas:

Recomendação de segurança: não insira no chat dados pessoais sensíveis, segredos comerciais, documentos privados, senhas, chaves de acesso, dados financeiros, informações médicas, informações de menores ou conteúdo confidencial. Use o chat para dúvidas, rascunhos, estudos e produtividade, mas preserve sua privacidade.

7. Privacidade por Design

Aplicamos práticas de privacidade por design para reduzir riscos desde a concepção do serviço. Na prática:

  • o uso básico do chat não exige cadastro;
  • não solicitamos CPF, senha bancária, dados de cartão ou documentos para usar o chat básico;
  • o armazenamento do histórico fica desativado por padrão;
  • quando ativado, utiliza sessionStorage apenas na aba atual;
  • o plugin não grava o texto das conversas no banco de dados do WordPress;
  • a mensagem atual e até seis rodadas anteriores — cada uma formada pela mensagem do usuário e pela resposta correspondente — são enviadas à API da OpenAI;
  • um identificador técnico pseudônimo gerado por HMAC pode ser usado para limitação e prevenção de abuso;
  • dados técnicos podem ser tratados por servidores, infraestrutura, segurança e terceiros aplicáveis;
  • incentivamos o usuário a não compartilhar informações sensíveis no chat.

A minimização de dados não significa ausência total de tratamento de dados. Significa tratar apenas o que é necessário para que o serviço funcione, seja protegido e cumpra obrigações aplicáveis.

8. Parceiros e Fornecedores Técnicos

A operação do Site GPT pode envolver fornecedores técnicos especializados. Cada fornecedor possui seus próprios controles, termos, políticas e canais de confiança. Entre os fornecedores que podem participar da operação estão:

  • Cloudflare — participa da entrega do site e fornece o Cloudflare Web Analytics observado no site público. Esta revisão não afirma quais módulos de WAF, DDoS ou outros controles estão contratados ou configurados.
  • OpenAI — processamento de respostas de IA por meio da API da OpenAI. Consulte o Portal de Confiança da OpenAI.
  • Google — fornece o Google AdSense, que somente pode ser carregado após consentimento explícito e apenas na página inicial e nas publicações. Consulte o Centro de Segurança do Google.

As referências a fornecedores nesta página descrevem somente integrações e informações verificadas na revisão. Elas não constituem auditoria, certificação ou garantia dos controles internos desses fornecedores.

9. Conformidade Legal e Regulatória

As práticas do Site GPT observam, quando aplicável, legislações brasileiras relacionadas a proteção de dados, direitos do usuário e funcionamento de serviços digitais, incluindo:

Esta página não substitui orientação jurídica. Em caso de uso profissional, educacional, governamental, médico, financeiro, jurídico ou corporativo sensível, recomenda-se avaliação própria de risco e conformidade.

10. Gestão de Incidentes de Segurança

Se um incidente relevante for identificado, uma resposta poderá incluir as etapas abaixo conforme o caso e as obrigações legais. A revisão não confirmou monitoramento contínuo nem promete prazo fixo de detecção, resposta ou correção:

  • Contenção: ações para limitar o impacto e interromper a exploração;
  • Análise: investigação da origem, extensão, causa e possíveis efeitos;
  • Remediação: correção de falhas, ajustes de configuração e restauração segura;
  • Comunicação: aviso a titulares, autoridades ou fornecedores quando exigido ou apropriado;
  • Lições aprendidas: revisão de processos, controles e documentação.

Cooperamos, nos termos da lei, com autoridades competentes e requisições legitimamente formalizadas.

11. Divulgação Responsável de Vulnerabilidades

Valorizamos relatos de boa-fé da comunidade de segurança. Se você identificar vulnerabilidade, comportamento inesperado ou risco potencial no Site GPT, pedimos que comunique de forma responsável antes de qualquer divulgação pública.

11.1 Escopo

Estão dentro do escopo apenas ativos digitais operados diretamente pelo Site GPT:

  • o domínio site-gpt.chat;
  • subdomínios controlados diretamente por nós;
  • a interface pública do chat;
  • páginas informativas e recursos públicos do site.

Serviços de terceiros não fazem parte deste programa. Vulnerabilidades em fornecedores devem ser reportadas aos canais oficiais desses fornecedores.

11.2 Como Reportar

Envie o relato para [email protected] com o assunto “Security Report — Vulnerabilidade”. Quando possível, inclua:

  • descrição clara da vulnerabilidade;
  • impacto potencial;
  • passos de reprodução;
  • URLs, parâmetros ou recursos envolvidos;
  • evidências, como capturas de tela ou trechos técnicos;
  • sugestão de correção, se houver;
  • forma preferida de contato.

Relatos em português ou inglês são preferidos.

11.3 O Que Esperar de Nós

  • análise do relato recebido;
  • avaliação de criticidade, reprodutibilidade e impacto;
  • priorização de vulnerabilidades relevantes;
  • tratamento confidencial enquanto a correção é analisada;
  • comunicação razoável com o pesquisador quando necessário.

Não assumimos compromisso público com prazos fixos de resposta ou correção; o tratamento depende das informações disponíveis, da criticidade, da complexidade técnica e da disponibilidade operacional.

11.4 Boas Práticas Esperadas do Pesquisador

Ao participar da divulgação responsável, esperamos que você:

  • aja de boa-fé;
  • não acesse, copie, modifique, exclua ou exponha dados de terceiros;
  • não degrade, interrompa ou sobrecarregue o serviço;
  • não realize ataques de força bruta, DoS, DDoS, spam ou varreduras agressivas;
  • não use engenharia social contra equipe, usuários ou fornecedores;
  • não divulgue publicamente a falha antes de termos tempo razoável para avaliar e corrigir;
  • respeite a legislação aplicável.

11.5 Reconhecimento

No momento, não oferecemos recompensas financeiras por relatos de vulnerabilidades. A depender da relevância e da qualidade do relato, podemos oferecer reconhecimento público, carta de agradecimento ou outro gesto de apreciação, a nosso critério.

11.6 Considerações Legais

Temos o compromisso de tratar relatos de boa-fé com razoabilidade. No entanto, não concedemos imunidade legal automática. Pesquisadores que causem dano real, violem a privacidade de terceiros, explorem dados indevidamente ou descumpram a lei poderão estar sujeitos às medidas cabíveis.

12. Fora do Escopo

Normalmente, os seguintes itens não são tratados como vulnerabilidades relevantes no âmbito deste programa:

  • achados de ferramentas automáticas sem demonstração concreta de impacto;
  • respostas imprecisas, inadequadas ou inesperadas do sistema de IA;
  • avisos genéricos de cabeçalhos de segurança sem caminho realista de exploração;
  • ataques que dependem de acesso físico ao dispositivo do usuário;
  • ataques que dependem de dispositivo já comprometido;
  • phishing ou engenharia social;
  • testes de carga, DoS, DDoS, spam ou varreduras agressivas;
  • problemas exclusivos de serviços de terceiros.

13. Recomendações de Segurança para Usuários

Você também tem papel importante na proteção da sua experiência. Recomendamos:

  • Mantenha o navegador atualizado: versões recentes corrigem falhas conhecidas.
  • Confira o endereço: use apenas https://site-gpt.chat e verifique o cadeado do navegador.
  • Evite clones: não confie em cópias, domínios parecidos ou links suspeitos.
  • Não compartilhe dados sensíveis: evite inserir documentos, senhas, dados bancários, prontuários, chaves de API ou segredos comerciais.
  • Use dispositivos confiáveis: prefira equipamentos pessoais, atualizados e protegidos.
  • Limpe o histórico quando necessário: especialmente em computadores compartilhados ou públicos.
  • Use senso crítico: confirme informações importantes em fontes confiáveis antes de agir.
  • Reporte comportamentos suspeitos: avise nossa equipe se perceber uso indevido, falha ou risco de segurança.

14. Limitações Conhecidas

Para manter transparência, destacamos algumas limitações:

  • o conteúdo enviado ao chat precisa ser transmitido à API da OpenAI para geração da resposta;
  • o histórico opcional em sessionStorage pode ser visto por pessoas com acesso à aba ou exposto em dispositivos e navegadores comprometidos;
  • registros técnicos podem existir para segurança, operação, diagnóstico e prevenção de abuso;
  • fornecedores técnicos possuem políticas próprias de segurança, privacidade e retenção;
  • nenhum serviço conectado à Internet pode garantir segurança absoluta;
  • respostas de IA podem conter erros e devem ser verificadas em situações importantes.

15. Comunicação de Incidentes pelo Usuário

Se você identificar comportamento suspeito, uso indevido, tentativa de fraude, cópia do site, falha de segurança ou possível exposição de dados envolvendo o Site GPT, entre em contato pelos canais abaixo e descreva o ocorrido com o máximo de detalhes possível.

Analisamos relatos de segurança com seriedade e, quando apropriado, adotamos medidas para reduzir riscos e proteger usuários.

16. Contato

Para questões de segurança, relatos de vulnerabilidade, suspeita de incidentes ou dúvidas sobre esta página:

Para solicitações relacionadas a dados pessoais, como acesso, correção, eliminação ou esclarecimentos sobre tratamento, use o formulário de contato.

17. Atualizações desta Página

Esta página poderá ser atualizada para refletir mudanças na infraestrutura, fornecedores técnicos, práticas de segurança, exigências legais, recomendações de privacidade ou evolução das ameaças digitais. A data da última atualização está indicada no topo da página.

Para complementar o entendimento sobre a operação do Site GPT, leia também a Política de Privacidade, os Termos de Uso, o Aviso Legal, a página de Recursos e as Perguntas Frequentes.