Um app de dinheiro precisa mostrar como se protege. Aqui está, em linguagem de gente e, quando precisa, em linguagem técnica.
Senha de banco. O Nosso Cofre não usa Open Finance nem faz login no seu banco. Você exporta o extrato (OFX ou CSV) no app do banco e compartilha com o Cofre. O arquivo é lido no seu aparelho; o app não guarda o arquivo, só os lançamentos.
Sua renda em valor. Pra dividir proporcional, o que sobe é a sua porcentagem, calculada no aparelho. O número da renda fica só com você.
Cartão de crédito. Não há cobrança até o lançamento; quem entrar até 31/12/2026 tem o plano Casal vitalício sem cadastrar nada.
Cada linha do banco de dados tem dono (Row Level Security, Postgres/Supabase). Uma pessoa logada só recebe as linhas em que é dona, e as do grupo só nas tabelas de grupo: valor, categoria, data, quem pagou e uma descrição limpa. Contas, saldos, faturas e gastos pessoais não têm regra que permita outra pessoa ler; sem regra, o banco não entrega.
O painel de administração tem permissão só em licenças, relatórios de erro (formato de arquivo, nunca valores) e amostras sanitizadas. Não existe regra de administrador nas tabelas com dinheiro: é incapaz de ler, não "não mostra". Isso é testado de forma hostil a cada versão: tentamos ler como visitante, como outro usuário e como administrador, e o resultado esperado é zero linhas.
Você entra por um link enviado ao seu e-mail. O link vale 1 hora e funciona uma vez. Não existe senha pra vazar nem pra reusar em outro site. A conta é tão segura quanto o seu e-mail: proteja-o com verificação em duas etapas.
Tudo trafega por HTTPS. O site manda cabeçalhos de segurança (CSP sem scripts inline, HSTS, sem iframes), nota A+ em testes públicos. O app não carrega scripts de terceiros nem rastreadores.
Quando uma importação falha, o app registra o formato do arquivo e a linha que quebrou: encoding, versão do OFX, nomes de campos. Nunca valores, nomes de lojas ou saldos. Só se você pedir, na tela de erro, uma cópia limpa do arquivo sobe: antes disso o app troca valores, nomes, documentos e números de conta, e mostra a prévia. Some sozinha em 90 dias ou quando você apagar em Contas.
Durante o teste, com a caixinha "ajudar o app a aprender" ligada, o app manda o nome do lugar como aparece no extrato (sem números) e a categoria que você escolheu, pra melhorar a sugestão de categoria pra todo mundo. Nada que pareça pessoa (Pix, transferência) entra. Dá pra desligar em Contas.
Em Contas, a qualquer hora e sem pedir pra ninguém: Exportar meus dados baixa um JSON com contas, lançamentos, regras e preferências. Apagar tudo some com contas e lançamentos, no aparelho e na nuvem. Apagar minha conta apaga você de vez: e-mail, dados, preferências, arquivos do suporte e amostras. O grupo que você dividia fica com quem ficou, sem os seus gastos.
Achou algo errado ou quer falar sobre segurança? wedny.fernandes@gmail.com. Respondo pessoalmente.
Entrar com e-mail