Conformidade

Posture Shares

Comprove a sua postura de segurança a um terceiro sem dar a ele acesso ao portal.

Um Posture Share é um snapshot da sua postura de segurança na WASViking^®, tokenizado, protegido por senha e com prazo de validade, acessível em posture.wasviking.com. O padrão é o mesmo do SBOM Evidence Bundle: compartilhamento zero-knowledge, log de acesso completo para o dono, revogável a qualquer momento.

O que os destinatários veem

Para o passo a passo no portal, com capturas de tela, veja Posture Shares em Primeiros passos.

Um Posture Share exibe um relatório agregado e assinado. Ele nunca abre uma janela para dentro do portal.

Há uma página escrita para quem recebe o link: envie o Guia do avaliador junto com a URL. Ele cobre como abrir o compartilhamento, onde cada pergunta de uma avaliação de fornecedor é respondida, como verificar uma versão assinada e o que arquivar.

O destinatário trabalha em um espaço dedicado, somente leitura, organizado em áreas, para que a avaliação de um fornecedor possa ser acompanhada ao longo do tempo, e não lida uma única vez:

Área	O que ela responde
Overview (Visão geral)	Onde a organização está hoje: pontuação, tendência, domínios de segurança e o que mudou desde a última visita do destinatário.
Findings & remediation (Achados e remediação)	O que está aberto, corrigido ou formalmente aceito, a atividade recente e o desempenho de remediação frente ao SLA.
Assessments & evidence (Avaliações e evidências)	As avaliações executadas e a sua cadência, a cobertura, a evidência de controles por tema, a correlação com frameworks, os controles ativos, as regras de evidência e a declaração de avaliação.
Reports & history (Relatórios e histórico)	O PDF assinado (um por domínio, mais o consolidado), a declaração de avaliação de uma página, as exportações em CSV (métricas atuais, histórico da pontuação, versões assinadas) e as versões assinadas que o link já serviu, cada uma com o próprio link de verificação.
Your access (Seu acesso)	O nível de divulgação do link, o que está incluído, o que nunca é compartilhado, o escopo, a validade, o aviso de que as visitas ficam registradas e um formulário para pedir mais detalhe ao responsável.
Methodology (Metodologia)	A declaração de escopo e o cálculo exato.

Todas as áreas são carregadas junto com a página. Passar de uma para outra não é uma nova visualização do link: nunca conta no Maximum views e nunca acrescenta linhas ao seu log de acesso. O que cada área mostra continua seguindo o nível de divulgação e as seções que você escolheu:

Posture Score (0 a 100), com a data da última avaliação e a tendência de 90 dias em pontos (melhorando, piorando ou estável). Enquanto não há uma base de comparação, o relatório informa isso em vez de exibir variação zero.
Why this score (por que esta pontuação): os pontos exatos que cada termo da fórmula tira de 100, para que o número possa ser auditado sem a leitura da metodologia.
Posture trend (tendência da postura): duas visões reconstruídas a partir de snapshots assinados anteriores. Os últimos 90 dias, semana a semana, abrem por padrão com os cards de 90 dias / 30 dias / hoje: mostram como a organização está se comportando agora. Os últimos 12 meses, mês a mês, acrescentam a melhor e a menor pontuação do período e mostram se a melhoria se sustentou. O PDF traz a visão de 90 dias. Nada é recalculado a posteriori.
Indicadores de correlação com frameworks (PCI DSS, LGPD, GDPR, SOC 2, ISO 27001): os achados mapeados, divididos em remediados, aceitos e abertos. Um retrato do tratamento, nunca um status de certificação.
Assessments executed (avaliações executadas): o que foi executado, quando e com que frequência, a partir do histórico de execuções da própria plataforma. Uma linha por tipo de avaliação no escopo, com a última execução, a cadência (agendamento recorrente, contínua, a cada build ou sob demanda), a próxima execução quando há uma agendada e as execuções concluídas nos últimos 90 dias, além de uma faixa de 12 meses com os meses em que houve avaliação. Apenas contagens de execuções e datas, nunca um ativo. Uma fonte contínua precisa provar que é contínua: sem evidência nos últimos 30 dias ela aparece como "Sem execução recente", nunca como "Contínua".
Control evidence by theme (evidência de controles por tema): os mesmos números assinados, reagrupados do jeito que uma avaliação de fornecedor pergunta (gestão de vulnerabilidades, desenvolvimento seguro, controle de acesso, criptografia em trânsito, exposição de dados, componentes e correções, configuração segura, aceite de risco, prazo de remediação), cada tema ao lado do requisito ao qual se relaciona em cada framework. Uma categoria de achado pertence a um único tema, portanto nada é contado duas vezes. As referências são uma correlação técnica: nunca afirmam que um requisito está atendido. O NIST CSF 2.0, os CIS Controls v8 e as regras do Banco Central do Brasil (Resolução CMN 4.893/2021 e Resolução BCB 85/2021) são citados ao lado de cada tema apenas como referência, sem barra de indicador própria. Os números seguem o nível de divulgação do link.
Evidence rules (regras de evidência): como um número conquista o seu lugar. Tudo é medido pela plataforma; um achado remediado que uma avaliação posterior detecta de novo é reaberto automaticamente; um risco aceito é uma decisão, não uma correção; um falso positivo nunca conta como remediado.
Assessment statement (declaração de avaliação): um PDF assinado de uma página que declara o que foi avaliado, quando e por quem, com a pontuação no momento da assinatura e o link completo de verificação. Feito para ser anexado a uma avaliação de fornecedor. Não é uma certificação, um parecer de auditoria nem uma declaração de conformidade, e só existe depois que ao menos uma avaliação foi executada no escopo.
Treatment history (histórico de tratamento; nível Standard ou superior): mês a mês, o que a última versão assinada naquele mês dizia sobre as constatações: abertas (com críticas e altas à parte), formalmente aceitas e remediadas. Nada é recalculado a posteriori.
CSV exports (exportações em CSV): métricas atuais (um número por linha, com uma chave estável e um rótulo no idioma do link), histórico de pontuação e tratamento (semanal em 90 dias, mensal em 12 meses; as contagens de constatações ficam vazias abaixo do nível Standard) e versões assinadas com os links completos de verificação. Saem do mesmo filtro da página, portanto um arquivo nunca traz um número que o link não mostra. As células de texto são neutralizadas contra fórmulas de planilha, e um link em português usa o ponto e vírgula como separador, que é o que as planilhas nesse idioma esperam. Toda exportação fica registrada no seu log de acesso, com o hash.
Remediation plan (plano de remediação; nível Standard ou superior): prazos que você declara na página Remediation plan, ao lado de Posture Shares. Você escolhe um escopo, um alvo (as constatações abertas de uma severidade ou de um tema de controle) e um prazo. A data é a única coisa declarada em um Posture Share e aparece rotulada como declarada; todo o resto é medido. O compromisso cobre as constatações abertas no momento da declaração, portanto constatações novas nunca mudam a meta, e o destinatário vê quantas foram remediadas, formalmente aceitas ou continuam abertas, e se o compromisso foi cumprido antes ou depois do prazo. Um compromisso nunca é editado: você o retira e declara outro, e o retirado continua visível por 90 dias. Quem declarou recebe um e-mail 7 dias e 1 dia antes do prazo e no dia seguinte ao vencimento, cada um uma única vez, para que você nunca fique sabendo de um compromisso atrasado pelo seu destinatário. Um destinatário que retorna vê os compromissos novos e as mudanças de situação no aviso "mudou desde a sua última visita".
Findings register (registro de achados; seção opcional, desligada por padrão, nível Standard ou superior): os achados um a um, para um avaliador que precisa acompanhar cada item. Uma linha traz o tipo do achado, a severidade, a situação, a primeira detecção, a última mudança, a idade, a situação do SLA e se um prazo declarado ainda em vigor o cobre. Ela nunca traz o que localiza ou reproduz um achado: nenhum ativo, endereço, URL, parâmetro, pacote, identificador de CVE ou evidência, e nem o título que o achado tem no seu portal. Abertos e mais severos primeiro, limitado a 200 linhas, com exportação CSV própria. O destinatário pode pedir o registro a partir do espaço compartilhado; a decisão é sua.
Ask for a remediation deadline (pedir um prazo de remediação, nível Standard ou superior): quando há achados abertos sem prazo declarado, o destinatário pode pedir um a partir do espaço compartilhado. Ele marca severidades em uma lista fixa (só as que o link mostra como abertas e que nenhum compromisso em andamento cobre), não há texto livre, e é aceito um pedido por dia. Você recebe um e-mail e o pedido aparece como pendente na página Remediation plan. Nada muda até você decidir: declarar um compromisso para aquele escopo e aquela severidade responde o pedido, e o destinatário vê o novo prazo no aviso "mudou desde a sua última visita".
Responsiveness (responsividade, nível Standard ou superior): se alguém assume o que as avaliações encontram. A parcela dos achados abertos que têm uma decisão (em andamento na plataforma, ou dentro da linha de base de um compromisso ainda dentro do prazo; compromisso atrasado não conta), o mesmo para críticos e altos, os achados abertos que aguardam há mais de 30 dias sem decisão, e a mediana de tempo até a primeira resposta sobre os achados vistos pela primeira vez nos últimos 90 dias. Medida a partir do ciclo de vida do achado e da trilha de situação dele, nunca declarada.
Ask for more detail (pedir mais detalhe): o destinatário marca o que precisa em uma lista fixa (não há texto livre) e você recebe um e-mail. Nada muda no link: o pedido aparece como pendente na página Details do link, salvar uma nova divulgação o responde, e é aceito um pedido por dia.
Cobertura de ativos.
No nível Standard: achados abertos por severidade, categorias de problemas com mapeamento OWASP e atividade de 30 dias, com remediação e aceitação sempre mostradas separadamente.
Risk treatment (tratamento de risco): achados abertos, formalmente aceitos e remediados, por severidade. Aceitar um risco é uma decisão, não uma correção: ele sai da pontuação, mas nunca sai do relatório.
No nível Detailed: desempenho de remediação nos últimos 90 dias (tempo mediano de remediação, percentuais de SLA).
Assessment coverage (cobertura da avaliação) por superfície (com as seções Security domains, Infrastructure e Cloud Security): quanto de cada superfície os números representam, quantas superfícies têm lacuna e o risco do que não está coberto. Em um relatório de domínio, os ativos e os alvos contados são os do próprio domínio, de modo que um domínio cujos alvos não foram avaliados nos últimos 30 dias mostra essa lacuna em vez de aparecer como totalmente coberto.
Evidence origin (origem da evidência) em cada número de domínio: observado externamente, verificado por agente, verificado na conta de nuvem, verificado no pipeline, verificado no repositório ou pacote do aplicativo analisado. Nenhum número do relatório é autodeclarado.
Seções opcionais escolhidas por link: Security domains (domínios de segurança; Application Security e External Exposure, cada um com o seu próprio índice), Infrastructure (infraestrutura; índice do parque, atualização de patches, hardening de configuração, apenas como percentuais no nível do parque), Cloud Security (segurança em nuvem; índice de postura em nuvem, confiança de cobertura e caminhos de ataque ativos, apenas como números no nível do ambiente) e Active security controls (controles de segurança ativos; apenas o estado).
Uma Methodology & Scope Statement (declaração de metodologia e escopo) que diz exatamente o que foi avaliado, como cada número é calculado e o que o relatório não é.

Os destinatários nunca veem:

Hosts, URLs, payloads, pacotes ou identificadores de CVE.
Qualquer achado individual, a menos que você ligue o Findings register naquele link. Mesmo assim, um achado aparece apenas como tipo, severidade, situação e datas.
O tamanho do seu parque ou a lista dos seus alvos.
Evidência HTTP bruta.
A sua trilha de auditoria ou qualquer coisa fora do escopo escolhido.

Um domínio que nunca foi avaliado aparece como "Not assessed" (não avaliado); ele nunca é mostrado como limpo.

O operador define o escopo do compartilhamento. Escolha o escopo de domínio (ou a organização inteira), o nível de exposição e quais seções incluir.
A WASViking monta o snapshot. Reconstrução em um ponto no tempo, assinada.
A WASViking diz a cada destinatário onde entrar. O operador informa um ou mais endereços de destinatário. Cada um recebe o endereço do portal do avaliador e, quando nunca entrou, uma senha temporária. Não existe URL nem senha para o operador copiar ou repassar.
O destinatário entra em posture.wasviking.com. A senha temporária não mostra nada do fornecedor: leva às páginas em que o destinatário cria uma conta gratuita, uma senha só dele e o segundo fator obrigatório. Depois o espaço compartilhado abre a partir de Meus fornecedores.
A trilha de auditoria bilateral registra cada acesso.

Controles do operador

Ação	Efeito
Rebuild	Gera uma nova versão do snapshot. Links em live mode passam a segui-la; links fixados (pinned) mantêm a versão com que foram criados.
Revoke	Encerra o compartilhamento imediatamente. Não pode ser desfeito.
Extend	Adia a expiração ou renova o link por 180 dias a partir de hoje. Um link nunca expira mais de 180 dias à frente, então aquele que acompanha um contrato longo é renovado ao longo do caminho, com a mesma URL e a mesma senha, e cada renovação fica na auditoria de ciclo de vida. Um link expirado também pode ser renovado.
Re-emit	Gira tudo de uma vez, por exemplo depois de uma suspeita de vazamento: revoga o link, clona a configuração em um link novo e convida de novo, no link novo, cada destinatário que continua convidado. Para uma pessoa que perdeu o e-mail antes de entrar pela primeira vez, use Resend naquele endereço.
Change shared scope	Adiciona ou remove escopos de domínio de um link (até 10, somente domínios dos próprios targets da organização), mantendo URL e senha. Cada domínio é um relatório assinado separado; nada é combinado entre domínios. Um link live muda no lugar. Um link pinned abre uma nova revisão e mantém as anteriores, com o snapshot em que cada domínio estava fixado. Whole organization nunca se mistura com escopos de domínio.
Change disclosure	Aumenta ou reduz o nível de exposição e as seções de um link ativo. URL, senha e snapshot assinado continuam os mesmos; muda apenas quanto do snapshot é exibido. Indisponível em link revogado ou expirado.
Invite an assessor	Adiciona um endereço de e-mail ao link (até 20; pelo menos um é informado na criação do link). A WASViking envia a essa pessoa o endereço do portal do avaliador, `posture.wasviking.com`, e, quando aquele e-mail nunca entrou, uma senha temporária válida por 7 dias. A senha temporária não mostra nada seu: ela prova a caixa de e-mail e leva às páginas em que a pessoa cria uma conta gratuita de avaliador, uma senha só dela e a autenticação em dois fatores com um aplicativo autenticador, que é obrigatória. Uma conta serve para todos os fornecedores que convidarem aquele e-mail, e o espaço compartilhado abre no nível de divulgação do seu link. Um e-mail que já tem conta recebe um aviso sem senha nenhuma. Toda visita aparece na linha do tempo de acesso com aquele e-mail, e o selo First access marca no painel quem já abriu o seu espaço compartilhado, com a data, a hora e o endereço IP. Senhas temporárias erradas são contadas por convite: uma pessoa errando nunca bloqueia as outras, e você é avisado quando os erros encerram a senha temporária de alguém. Resend envia a mensagem de novo (no máximo uma vez a cada 10 minutos), com uma nova senha temporária enquanto a pessoa nunca entrou; depois disso a senha é dela, ela a recupera sozinha, e um fornecedor nunca mexe nela. Wrong address? Change the e-mail move o convite para outro endereço em um passo, enquanto aquele endereço nunca abriu o espaço compartilhado, e a senha temporária enviada ao endereço errado para de funcionar na hora. Remove encerra na hora aquele convite, para todos que podiam abri-lo, sem afetar mais ninguém; revogar o link encerra o de todos. Quem abre um convite: um avaliador é uma empresa, e você pode não saber qual das pessoas dela convidar, então o convite pertence à organização do endereço convidado. Quando essa pessoa é membro de uma organização avaliadora no portal, todo membro daquela empresa abre o seu espaço compartilhado, cada um com a própria entrada e a autenticação em dois fatores, nunca com credencial compartilhada, e a linha do tempo de acesso diz o nome de quem fez cada visita, a organização e, quando foi um colega, o endereço que você convidou. Quem decide a entrada de alguém é o dono ou um administrador daquela organização, nunca o domínio de e-mail sozinho; quem sai ou é removido perde o seu espaço compartilhado na hora, e um endereço de provedor público de e-mail nunca forma organização. Depois do primeiro acesso, o painel mostra o nome daquela organização e quantas pessoas podem abrir o convite. Quando um convite passa para um time. Se a pessoa que você convidou é membro de uma organização avaliadora, você recebe um e-mail, no máximo quando o seu espaço compartilhado é aberto pela primeira vez, com quantas pessoas podem abrir e os domínios que aquela organização provou por DNS (nunca o nome que ela deu a si mesma, que aparece só no portal). Uma organização que você já confirmou na tela (domínio provado, Assessor ID, pedido de avaliação) não gera essa mensagem. Antes de qualquer envio você vê o que a WASViking sabe sobre o que digitou e confirma que é o seu cliente: um domínio provado por uma organização avaliadora junto com o nome que aquela organização deu a si mesma, uma caixa pessoal (um webmail gratuito não diz nada sobre uma empresa), ou nada. A WASViking verifica o domínio, por DNS, e nunca o nome que uma organização avaliadora dá a si mesma, então leia o domínio letra por letra. Quando o domínio é provado, o convite pertence àquela organização desde o início, seja quem for o destinatário digitado (um colega, uma caixa compartilhada, alguém que saiu): o dono e os administradores dela são avisados, e a pessoa digitada abre quando for membro daquela organização. Você nunca é informado se uma pessoa tem conta nem quem são os membros, e cada consulta fica na auditoria de ciclo de vida, até 30 por hora por link. O seu cliente também pode passar o Assessor ID dele (`AO-XXXX-XXXX-XXXX-XXXX`): digite-o no lugar de um e-mail, aqui ou nos destinatários de um link novo, e o convite vai para aquela organização sem endereço para errar. Um Assessor ID que não resolve recebe uma resposta só, seja qual for o motivo. Only this person, uma caixa no convite e um botão em cada linha, mantém o convite só para o endereço convidado; vale na hora nos dois sentidos e fica na auditoria de ciclo de vida. Convites, correções e remoções ficam na auditoria de ciclo de vida. Um destinatário também pode pedir o convite da conta de avaliador de dentro do espaço compartilhado: você recebe um e-mail, o endereço aparece em Requested by the recipient neste painel, e Invite envia o convite com um clique. Ninguém é convidado sem você. O endereço foi digitado por quem tem o link e a senha, então confira se ele é da pessoa que você espera. Um pedido por dia por link; um pedido sem resposta sai da lista depois de 30 dias. Um avaliador que criou conta recebe no máximo um e-mail por dia quando muda algo que ele já vê no link: um prazo que você declara, perde, cumpre ou retira (nível Standard ou acima), uma variação de 3 pontos ou mais na pontuação, e o link perto de expirar ou encerrado. A mensagem nunca diz mais do que o link mostra, e o avaliador pode desligá-la.
Allow a personal password	Só em links criados antes da entrega por e-mail, que ainda têm uma senha única compartilhada pelos destinatários. Desligado por padrão, por link. Permite que o destinatário troque a senha do link por uma que só ele conhece, a partir do relatório compartilhado, depois de informar a senha atual de novo. A URL continua; a senha anterior deixa de funcionar e todas as outras sessões abertas são encerradas. O dono é avisado, e a auditoria de ciclo de vida registra quando e de qual endereço IP a senha mudou, nunca a senha. Desligar depois não traz a senha anterior de volta; o Re-emit emite uma nova.

Quem pode fazer o quê segue o papel. View abre os links, o log de acesso, os snapshots e o plano de remediação; manage cria, revoga, estende, reemite e muda o que um link divulga; commit declara ou retira um compromisso de remediação, mantido à parte porque é uma promessa com data feita a um terceiro. Admin e Manager têm os três; Analyst e ReadOnly têm view.

Toda ação fica registrada na auditoria de ciclo de vida do link, ao lado do log de acesso. Uma mudança de divulgação ou de escopo guarda a configuração anterior e a nova, de modo que sempre é possível responder o que um destinatário podia ver em determinada data, e o log de acesso registra qual domínio cada visualização e cada download de PDF serviu.

Um link que compartilha vários domínios oferece dois downloads: o PDF do domínio em exibição, ligado a um único snapshot assinado, e um PDF consolidado que reúne o relatório de todos os domínios compartilhados atrás de uma capa de resumo. O documento consolidado não soma nada: cada domínio mantém a sua pontuação, a sua assinatura e o seu link de verificação, e o log de acesso registra o download com a versão do snapshot de cada domínio incluído. Os dois são visíveis para o operador na página de detalhes do link, e o log de acesso pode ser exportado em CSV. O destinatário não vê nenhum dos dois.

Pedidos de avaliação

Um cliente que avalia você não precisa esperar o seu convite: pelo Portal do Avaliador da WASViking ele pode pedir a sua postura de segurança digitando o seu domínio. Posture Shares, Assessment requests é onde esses pedidos chegam.

Só por um domínio que você provou. Um pedido só chega quando você provou aquele domínio exato por DNS: Get the DNS record mostra um registro TXT para publicar em _wasviking-posture.<domain> (o seu domínio), e Check now consulta o DNS. Um domínio que alguém apenas digitou não roteia nada, então ninguém consegue receber um pedido, e ser avaliado, no seu lugar. Os domínios que você já provou para o Exposure Intelligence também contam. O registro é consultado de novo todo dia e a prova acaba quando ele some por três dias seguidos; um subdomínio é outro domínio.
Quem pode pedir. Só o dono ou um administrador de uma organização avaliadora que também provou um domínio por DNS. Você lê esse domínio provado, o nome que a organização deu a si mesma, o e-mail de quem pediu, uma finalidade de lista fechada e uma referência curta opcional. Não há texto livre. A WASViking verifica o domínio, nunca o nome que uma organização dá a si mesma: leia o domínio letra por letra e aprove só um cliente que você conhece.
Quem pede nunca descobre se você usa a WASViking. Ele lê a mesma resposta para qualquer domínio, depois do mesmo tempo, e nenhum e-mail sai naquele momento. O pedido dele aparece como aguardando até expirar em 30 dias, a não ser que você aprove. Decline, Block e Stop taking requests são todos silenciosos.
Aprovar é criar um link. Approve: create a link abre o formulário de sempre com aquela organização como destinatária. Você escolhe o nível de divulgação, os domínios e o prazo, como em qualquer outro link; nada é compartilhado antes disso. O dono e os administradores da organização são avisados e os membros dela abrem o seu espaço compartilhado, cada um com a própria entrada, e a sua linha do tempo de acesso diz o nome de quem fez cada visita.
Código de solicitação. Provar um domínio exige uma mudança de DNS. Quando isso é demorado para você, Create a request code gera um código no formato VR-XXXX-XXXX-XXXX-XXXX que você pode publicar na sua página de segurança ou num questionário: o cliente digita o código no lugar do seu domínio e o pedido chega até você. Publicar é uma escolha sua de dizer que usa a WASViking. Ele não compartilha nada, um código que ninguém tem recebe a mesma resposta de qualquer outro pedido (códigos não podem ser sondados), e Replace the code ou Stop using a code encerram o atual na hora.
Como você é avisado. No máximo um e-mail por dia, para quem pode gerenciar Posture Shares, com quantos pedidos aguardam e os domínios provados de quem pediu. Ele nunca leva um nome escolhido por alguém, nem link para clicar.
Permissões. Ler a página exige view; responder, os domínios e a chave exigem manage.

Processo de vendas. A equipe de segurança de um prospect pede "mostrem a sua postura". Um Posture Share é mais rápido do que tentar obter um relatório SOC 2 e mais atual do que um PDF defasado.
Due diligence de fornecedores. O mesmo caso de uso, na direção oposta; responda a um questionário de fornecedor com um snapshot ao vivo.
Diligência de investidores. Demonstre maturidade operacional de segurança sem expor o console de operação.
Entrega ao auditor. Combine com o SBOM Evidence Bundle para o pacote de auditoria de cobertura completa.

Quando NÃO usar

Para colaboração profunda com um operador. Em vez disso, adicione o operador como usuário Read-only na sua organização; ele recebe o portal ao vivo, com escopo definido por RBAC.
Para atualizações de status de alta frequência a uma equipe em que você já confia. Em vez disso, use um webhook para o Slack dela.

Automação

Os Posture Shares são criados e gerenciados no portal. Hoje não existe API pública para eles, e os eventos de compartilhamento não fazem parte do catálogo de webhooks. O que cada link faz por conta própria é avisar você por e-mail: na primeira visualização, em um volume incomum de acessos e quando senhas erradas repetidas encerram o acesso de um destinatário.

Propriedades de segurança

Tokenizado. O código do compartilhamento é opaco, não enumerável.
Uma porta, uma conta por pessoa. Os destinatários entram em posture.wasviking.com com o e-mail, uma senha só deles e um segundo fator obrigatório (aplicativo autenticador, com códigos de backup). A senha temporária que vai por e-mail vale por 7 dias, só o hash dela é guardado, ela não mostra nada do fornecedor e é apagada quando a conta passa a existir. Ninguém, nem o dono, tem uma URL ou uma senha do link em si.
Com prazo de validade. A expiração é escolhida na criação, de 1 hora a 90 dias (o padrão é 7 dias). Ela pode ser estendida ou renovada, mas nunca para mais de 180 dias à frente: um link só fica aberto por muito tempo porque o responsável continua decidindo que ele deve ficar, e cada decisão é auditada.
Revogável. Revogação com um clique; o efeito é imediato.
Auditado. Todo acesso, toda tentativa de senha errada e todo download de PDF fica registrado com horário e endereço IP, visível para o operador. O destinatário não vê nada disso.
Resistente a força bruta. Senhas temporárias erradas repetidas bloqueiam aquele convite por um tempo, e a insistência o encerra até o dono enviar um novo; uma conta se bloqueia do mesmo jeito. Os outros destinatários não são afetados, e a tela de entrada responde a toda recusa do mesmo jeito e com o mesmo custo. Toda resposta do host público leva um tempo mínimo uniforme, de modo que um link errado e uma senha errada parecem iguais para quem está de fora. Toda digitação de senha, no relatório e no formulário de senha pessoal, também passa por uma verificação invisível do reCAPTCHA, validada no servidor, a mesma proteção do login do portal.

O que o destinatário recebe por e-mail

Uma mensagem no padrão da marca por endereço convidado, enviada quando você cria o link, quando convida alguém depois e toda vez que usa Resend. Ela diz quem compartilhou, informa o endereço do portal do avaliador e orienta o destinatário a digitar ele mesmo esse endereço, e a confirmar com o contato dele, quando uma mensagem parecer inesperada. Um endereço que nunca entrou recebe também uma senha temporária; um que já tem conta não recebe senha nenhuma.

A senha temporária é o único segredo que vai por e-mail, e por isso ela dura pouco e sozinha quase não serve: vale por 7 dias, não mostra nada seu, só leva à criação da conta e do segundo fator, e uma mensagem nova a substitui. Se a mensagem foi para o endereço errado, mover o convite encerra aquela senha na hora. A WASViking nunca a guarda em texto claro e nunca a escreve em log ou na trilha de auditoria.

Todo destinatário com conta também recebe a notificação diária descrita em Invite an assessor, que nunca diz mais do que o seu link mostra e que ele pode desligar.