Confiança
Visão geral de segurança
O ClawLink conecta seus apps ao seu agente de IA por meio de OAuth hospedado, para que você nunca precise registrar seus próprios apps de OAuth nem colar segredos do provedor no chat. Esta página explica como uma conexão funciona, como armazenamos credenciais e onde estão os limites.
Como uma conexão funciona
Você aprova o acesso com o provedor
Você faz login e concede o acesso na própria tela do provedor. O fluxo de OAuth hospedado é executado pela Composio, nossa parceira de infraestrutura de credenciais.
Guardamos uma referência, não seus tokens
Nas conexões hospedadas, o ClawLink guarda apenas um ponteiro para sua conta conectada. Seus tokens OAuth do provedor permanecem na Composio.
Seu agente executa uma ferramenta que você acionou
Quando você pede algo ao seu agente, o ClawLink executa essa única solicitação no provedor por você. Nada acontece a menos que você acione.
Você mantém o controle
Desconecte qualquer conexão do seu painel a qualquer momento e revogue o acesso diretamente com o provedor sempre que quiser.
Como armazenamos credenciais
A maioria das integrações se conecta pelo nosso fluxo hospedado da Composio, onde o ClawLink guarda apenas uma referência à sua conta conectada, não seus tokens do provedor. Quando uma integração precisa de uma credencial que mantemos diretamente, como uma chave de API que você insere na configuração, nós a criptografamos com AES-256-GCM antes de gravá-la em nosso banco de dados e a descriptografamos apenas na memória quando sua solicitação é executada. As chaves de criptografia podem ser rotacionadas sem tempo de inatividade.
O código que roda na sua máquina é aberto
Os plugins para agentes, a CLI e o adaptador MCP estão publicados por inteiro no GitHub, então você pode ler exatamente o que roda no seu computador antes de instalar. Eles se comunicam com um único servidor, claw-link.dev, e guardam um único segredo: sua chave de API do ClawLink. Eles nunca veem as senhas nem os tokens OAuth dos seus apps.
Acesso operacional e dados
Pedimos o menor escopo do provedor de que cada recurso precisa. Cada chamada de ferramenta é registrada com os argumentos que seu agente enviou e a resposta que o provedor devolveu, para que uma chamada com falha possa ser depurada e o suporte veja o que aconteceu. Esses registros são apagados após 90 dias. A análise de produto recebe apenas qual ferramenta rodou, quando e se deu certo, nunca o conteúdo.
Desconectar integrações
Você pode desconectar qualquer conexão do seu painel do ClawLink a qualquer momento. Para uma remoção de maior garantia, revogue o acesso do ClawLink diretamente na conta do provedor e entre em contato conosco para solicitações de exclusão.
Em que nos apoiamos
O ClawLink roda sobre infraestrutura que não operamos nós mesmos. O OAuth hospedado e o armazenamento de tokens do provedor são feitos pela Composio, que publica sua conformidade em seu centro de confiança, e o serviço roda na Cloudflare. Para fazer uma solicitação, descriptografamos sua credencial na memória no momento da execução, então criptografia em repouso não significa que o ClawLink nunca lida com o segredo. Preferimos ser precisos sobre esses limites a sugerir mais isolamento do que existe.
Reportar problemas de segurança
Relatos de segurança podem ser enviados para security@claw-link.dev. Inclua os passos de reprodução, os endpoints afetados e qualquer contexto relevante da conta ou da solicitação.