Verificamos o nosso próprio site
Uma empresa de cibersegurança pede prova aos clientes; o mínimo é mostrar a sua. O que está nesta página pode ser confirmado de fora, com as ferramentas do próprio browser.
Ligação sempre cifrada
HTTPS obrigatório, com HSTS de dois anos: o browser não volta a tentar a versão sem cifra.
Só corre o JavaScript que declarámos
A política de conteúdo (CSP) não permite scripts inline: o browser só executa código servido pelo próprio site e pelo único serviço declarado — a análise de visitas (Plausible). Os formulários não usam CAPTCHA de terceiros: os envios automáticos são filtrados pelo próprio site, com limite de pedidos.
Não se deixa embutir noutra página
X-Frame-Options e frame-ancestors impedem que o site seja carregado dentro de outra página — é a defesa contra o clickjacking.
Sem cookies de análise
A análise de visitas não usa cookies nem guarda nada no dispositivo. Não há banner porque não há nada a consentir.
Fontes e imagens do site alojadas aqui
Os tipos de letra e as imagens do próprio site (setores, globo, ícones) são servidos daqui. As fotografias dos artigos e da equipa vêm do serviço externo onde estão alojadas.
Painel com segundo fator
O painel de administração exige um segundo fator (TOTP), bloqueia depois de tentativas falhadas e guarda a sessão num cookie que nenhum script da página consegue ler.
Formulários com o mínimo
Só se pede o que a resposta precisa; há limite de pedidos por endereço, e o consentimento fica registado com a versão da política. Pode exportar ou apagar os seus dados na política de privacidade.
Ver a política de privacidadeVerificação automática antes de publicar
Antes de cada publicação, verificações automáticas confirmam que os preços são os publicados e que nenhuma página tem scripts inline; se algo falhar, o site não é publicado.
Como confirmar
Abra as ferramentas do browser (F12), separador Rede, recarregue a página e veja os cabeçalhos da resposta: Strict-Transport-Security, Content-Security-Policy e X-Frame-Options.
Última verificação desta página: 03/10/2026
Encontrou uma falha?
Escreva para contact@valluris.com com «Segurança» no assunto: o que encontrou, onde, e como se reproduz.
Pedimos que não aceda a dados de outras pessoas, não degrade o serviço e nos dê tempo para corrigir antes de divulgar. Não há programa de recompensas.
No âmbito
- valluris.com e as suas páginas
- a API em valluris.com/api e em valluris-backend.onrender.com
- a área de cliente (/conta) e a área de parceiro (/parceiros/area)
Fora do âmbito
- ataques de negação de serviço
- engenharia social ou phishing a pessoas da Valluris
- relatórios automáticos sem impacto demonstrado
Confirmamos a receção em 5 dias úteis e respondemos por escrito a cada relato.
contact@valluris.comO mesmo contacto está em /.well-known/security.txt.
O Diagnóstico é sempre o primeiro passo.
Não acompanhamos um ambiente que ainda não conhecemos, e um plano recomendado sem diagnóstico é um palpite com preço. Duas fases, desde 390 €, com relatório em cada uma.