Acesso e segurança

OAuth e consentimento

O agente recebe autorização para a conta pelo navegador; não recebe sua senha. OAuth usa PKCE S256. O acesso dura uma hora, com renovação rotativa por até 30 dias. A reutilização indevida de uma renovação revoga a família de tokens.

Menor permissão necessária

read permite consultas e downloads da própria conta. generate acrescenta criação com créditos. Habilite somente o que seu fluxo precisa. Um teto por chamada não substitui a sua aprovação de cada criação.

Credenciais e arquivos

Acessos pessoais são armazenados no servidor somente como hash. Guarde o valor original em um gerenciador de segredos. Não coloque credenciais em prompts, repositórios, capturas ou links.

O histórico e os assets são limitados à conta autenticada. Revise a privacidade antes de compartilhar e envie apenas referências que você pode utilizar. Se suspeitar de exposição, revogue o acesso e crie outro quando necessário.