Infraestrutura de links com contrato, isolamento e trilha de auditoria

Cláusulas de contrato, não uma caixinha de autosserviço

Os contratos Enterprise são negociados: um acordo de nível de serviço cobrindo a disponibilidade dos redirecionamentos, um acordo de processamento de dados com a lista atual de subprocessadores, uma revisão de segurança antes da assinatura e uma taxa da plataforma negociada a partir de cinco por cento, em vez de tirada de uma tabela publicada. Domínios, espaços de trabalho e cliques rastreados são ilimitados.

O login único está no roadmap para depois do lançamento, e está listado assim em vez de sugerido nas entrelinhas. Se a federação de identidade for um requisito obrigatório para a sua implantação, ela precisa entrar na conversa e no cronograma antes de qualquer assinatura — um fornecedor que responde a essa pergunta de forma vaga vai responder às mais difíceis do mesmo jeito.

• ✓Acordo de nível de serviço sobre a disponibilidade dos redirecionamentos
• ✓Acordo de processamento de dados e lista pública de subprocessadores
• ✓Taxa da plataforma negociada a partir de cinco por cento
• ✓Domínios, espaços de trabalho, links e cliques rastreados ilimitados
• ✓Retenção de analytics de até vinte e quatro meses
• ✓Login único depois do lançamento, declarado como item de roadmap

Entrada dedicada e roteamento previsível

A partir do plano Scale, você recebe um IP de entrada dedicado para os seus domínios, o que importa de três formas concretas: domínios raiz funcionam em registradores que não fazem flattening de CNAME, redes corporativas e parceiros podem liberar um endereço estável em lista de permissões, e o seu tráfego não divide o ponto de entrada com tenants sem relação com você.

Todo domínio é provisionado com verificação de propriedade, e um hostname pertence a exatamente um tenant no mundo todo, então mais ninguém consegue reivindicar um hostname que resolve para a sua marca. A renovação do certificado é delegada no momento da conexão e depois roda sozinha, o que tira do seu calendário o clássico incidente de expiração. As mudanças de ciclo de vida do domínio saem como webhooks, então podem ser encaminhadas para o seu próprio monitoramento em vez de serem descobertas por um cliente.

Os redirecionamentos são respondidos no edge a partir de um cache, e não de um banco de dados, com cache negativo e limite de requisições no caminho de falha de cache, e o caminho do redirecionamento é mantido de propósito independente do painel: uma queda do plano de controle não impede os links de resolverem.

Tratamento de dados dito com precisão

Os eventos de clique não guardam endereços IP. Os visitantes únicos vêm de um hash com um sal que gira diariamente, que não pode ser revertido em um endereço nem usado para seguir uma pessoa ao longo de semanas, e a métrica é rotulada como visitantes únicos por dia, em vez de ser vendida como resolução de identidade. O redirecionador não define nenhum cookie de rastreamento; o único cookie que ele emite é o de vida curta que destrava um link protegido por senha.

Os eventos detalhados são retidos pela janela que o seu contrato define, de até vinte e quatro meses, e apagados automaticamente depois disso. As consolidações diárias por link ficam guardadas para sempre, então as contagens de vida inteira sobrevivem à exclusão dos eventos que as originaram. Os relatórios não usam amostragem: cada clique que não é de bot é um evento armazenado, e o tráfego de bots fica fora dos relatórios por padrão, mas nunca é descartado em silêncio.

O isolamento entre tenants é garantido na camada de dados: toda consulta com escopo de tenant é filtrada por espaço de trabalho e por parceiro, com uma suíte de testes dedicada cobrindo isso, em vez de depender de um desenho cuidadoso de interface.

Governança entre unidades de negócio

A estrutura acompanha a organização: um espaço de trabalho por marca, região, linha de produtos ou agência, cada um com os próprios domínios, links, analytics e membros. Quatro papéis — proprietário, administrador, membro e visualizador — cobrem a diferença entre a equipe que publica links, os interessados que só leem resultados e a pessoa que controla o plano. As chaves de API têm escopo por espaço de trabalho, com listas explícitas de permissão, podem ter validade e são revogáveis na hora, com marcação de último uso para encontrar integrações de que ninguém se lembra.

Toda mudança relevante escreve uma entrada de auditoria — edição de destino, mudança de membro e de papel, conexão de domínio, revogação de chave —, legível no painel e disponível pela API para exportar para a sua própria plataforma de logs. Somado a webhooks assinados para eventos de domínio e de assinatura, isso basta para que uma revisão de segurança responda às próprias perguntas em vez de abrir chamados.