Na monday.com, a segurança é prioridade máxima. Queremos garantir que você tenha confiança ao criar seu fluxo de trabalho conosco. Este artigo responderá a dúvidas sobre a segurança e a implantação de TI da integração com o Outlook.

 

Noções básicas

Quem é o desenvolvedor da integração com o Outlook?

O desenvolvedor da integração com o Outlook é a monday.com.

 

A integração é entre a monday.com e a Microsoft. Em qual ambiente a integração é executada?
A integração é executada nos servidores da monday.com. Recebemos webhooks da Microsoft, executamos a lógica e, em seguida, realizamos chamadas de API para extrair dados da Microsoft ou enviar e-mails ou executar uma ação na monday.com, como criar um elemento ou adicionar uma atualização (dependendo da integração).

 

Autenticação

O que a monday.com utiliza para a autenticação?

Utilizamos o protocolo OAuth 2.0 para a autenticação. Através do OAuth 2.0, os usuários podem autorizar escopos específicos exigidos pela integração da monday.com. Após o usuário selecionar os escopos específicos, há um handshake (comunicação) entre os servidores da Microsoft e da monday.com para garantir que a transação seja segura.

Como resultado da autorização, a Microsoft nos fornece um token de acesso que podemos usar para fazer chamadas de API em nome do usuário autenticado. Somente podemos fazer chapadas de API que estejam dentro do escopo autorizado pelo usuário. Utilizando as chamadas de API, a monday.com somente pode acessar informações que o usuário que iniciou a autorização tenha permissão para executar ou visualizar na conta — e que esteja dentro dos escopos autorizados.

 

Onde posso saber mais sobre o OAuth 2.0?

Leia mais sobre o protocolo padrão OAuth 2.0 aqui.

 

A monday.com tem acesso à minha senha do Outlook?

Em nenhum momento a monday.com tem acesso à senha do Outlook do usuário autorizador. Essa informação nunca é compartilhada conosco.

 

Permissões

Por que a monday.com exige permissões completas de acesso de leitura e escrita?

Entendemos por que você pode se preocupar em conceder acesso a toda a sua conta para quaisquer apps externos. É por isso que queremos fornecer insights sobre por que solicitamos permissão completa de acesso de leitura.

Tanto a permissão de leitura quanto escrita são necessárias para que a integração funcione.

Solicitamos permissões de leitura e escrita para e-mails. A fim de permitir o envio de e-mails, precisamos ser capazes de enviá-los. Isso requer permissões de escrita. Para receber e-mails, precisamos de permissões de leitura para inserir as informações na monday.com e exibi-las para você.

 

Como exatamente a integração funciona com essas permissões?

Quando um usuário cria uma integração de entrada, nos inscrevemos para ser notificados pelo Outlook sobre quaisquer e-mails que esse usuário receba. Em seguida, quando um e-mail é recebido, o Outlook nos notifica e fornece a ID da mensagem, mas não a mensagem em si.

Para prosseguir com a integração, a primeira coisa que fazemos é utilizar a ID fornecida pela Microsoft para extrair a mensagem via API. Apenas extraímos mensagens de caixas de entrada relevantes, o que significa que não extraímos aquelas que estejam em caixas de entrada como as pastas Spam, Excluídos ou Enviados. Assim que recebermos a mensagem, prosseguimos para a execução da integração e verificamos as condições que você escolheu ao configurar a integração. Com base nessas condições, criamos um elemento ou uma atualização a partir do e-mail. 

 

Qual é a extensão do acesso concedido à monday.com com permissões totais de leitura e escrita? Todos os e-mails na caixa de entrada são lidos pela monday.com?

Com a permissão concedida, a monday.com somente poderá ler mensagens na caixa de entrada do usuário que autorizou a integração — e a monday.com somente o fará em uma de duas situações:

1. A primeira situação é quando a conexão é efetuada pela primeira vez. Nesse momento, a monday.com extrairá o último e-mail recebido na sua caixa de entrada do Outlook para garantir que a conexão foi realizada com uma caixa de entrada válida. Seu objetivo é verificar se a monday.com consegue ou não extrair um e-mail com sucesso. Nada é feito com o e-mail, o qual também não é salvo em nenhum lugar.
2. A segunda situação está descrita na resposta à pergunta anterior desta seção. Quando um usuário configura uma integração para e-mails recebidos e autoriza o acesso, a monday.com extrai e-mails da Microsoft quando esta envia uma notificação.

 

A integração é entre a monday.com e a Microsoft. Os dados são acessados por terceiros?

Nenhum terceiro tem acesso aos dados por meio desta integração.

 

Quais protocolos de segurança estão em vigor?

O protocolo OAuth2 garante que tenhamos uma forma segura de autorizar e obter um token de acesso para o usuário que configurou e autorizou a integração. A Microsoft também exige que a monday.com envie uma sequência aleatória secreta. Isso é uma garantia extra para a Microsoft e para a monday.com de que as solicitações feitas são originárias de um host confiável. O token é salvo em nosso gerenciador de segredos na AWS e não pode ser acessado de nenhuma outra forma.

 

Como faço para definir permissões que limitem quem tem a capacidade de criar uma integração?

Para definir permissões que limitem quem tem a capacidade de criar integrações, acesse nosso artigo "Como configurar permissões de conta".

 

Armazenamento de dados

Como a integração opera em termos da transferência de dados de/para a monday.com e o Outlook?

A integração se comunica exclusivamente por meio da API; a monday.com faz chamadas de API para o Microsoft Graph e recebe notificações da Microsoft por meio da nossa API.

 

Como funciona o armazenamento de dados?

Armazenamos o token de acesso em uma ferramenta de gerenciamento de segredos chamada Vault. Os dados de autenticação (token de acesso) que a ferramenta armazena são criptografados. O token de acesso somente pode ser acessado por meio de solicitações para esse usuário específico realizadas dentro do nosso servidor.

 

Há "backups"?

Não, não temos um banco de dados de backup separado para os dados de autenticação do Vault.

 

Por quanto tempo os dados relacionados ao O365 permanecem na monday.com?

Há vários tipos de dados relacionados ao aplicativo O365 que permanecem:

• Verificação única para garantir que a conexão é válida. Esta é uma verificação realizada no momento da criação da conexão (autenticação) apenas para garantir que o e-mail do Outlook é válido. Uma mensagem é extraída aleatoriamente da API para testar se recebemos uma resposta válida ou um erro. Essa mensagem não é lida ou salva em qualquer lugar.
• Dados de autenticação (token de acesso, token de atualização, nome de exibição). Estes são os dados usados para acessar a API em nome do usuário. Obtemos esses dados com a Microsoft após a conclusão do protocolo OAuth2, caso o usuário realmente tenha autorizado a monday.com a acessar a API em seu nome. Esses dados são armazenados no Vault, ferramenta de gerenciamento de segredos, e permanecem nele, a menos que o usuário solicite sua exclusão. Os dados de autenticação expiram após um curto período e devem ser constantemente atualizados para garantir que os dados e o acesso continuem válidos. Além disso, o usuário sempre pode revogar a conexão na sua conta Microsoft. Consulte a última seção deste artigo para obter mais detalhes sobre como revogar a conexão. Quando a conexão for revogada, os dados de autenticação salvos na monday.com não funcionarão mais, pois não serão mais válidos para acessar a API em nome do usuário. Essa invalidação acontece por precaução da Microsoft em vários outros casos, como alteração de senha, logout forçado, adição de MFA, etc.
• Quaisquer dados relacionados à integração. Quaisquer dados envolvidos na integração, como o corpo do e-mail ou o assunto que o indivíduo que usa a integração escolhe usar ao ativar um modelo de integração, são salvos como dados em seu quadro da maneira escolhida para adicioná-los; eles serão salvos nos bancos de dados para os elementos do quadro correspondente (ou seja, nome do elemento, seção de atualizações, etc.) com monday.com até que as informações sejam excluídas.

 

Revogar acesso

Como revogo o acesso da monday.com à minha conta do Outlook?

Se a qualquer momento você quiser revogar o acesso da monday.com à sua conta do Outlook, pode fazê-lo. Para revogar o acesso, acesse o Outlook e revise os apps de terceiros aos quais foi concedido acesso à sua conta. Se você revogar o acesso da monday.com, o token salvo pela monday.com deixará de funcionar. Deste ponto em diante, a monday.com não poderá fazer chamadas de API em seu nome. Se a monday.com tentar fazer uma solicitação após você revogar o acesso, a solicitação falhará porque a monday.com não terá mais um token válido.

 

 

 

 

Se você tiver alguma dúvida, entre em contato com nossa equipe por aqui. Estamos disponíveis 24 horas e prontos para ajudar!