Segurança
A sua conta continua sendo sua
A Melina se conecta pela autorização oficial do Mercado Livre. Nunca vemos sua senha e você revoga o acesso quando quiser. Nesta página está exatamente o que fazemos com aquilo que você autoriza.
A conexão
Você autoriza no Mercado Livre, não aqui
A Melina nunca pede e nunca recebe a senha da sua conta. A autorização acontece na tela do próprio Mercado Livre, pelo mesmo mecanismo que qualquer ERP ou hub usa.
Sem senha, nunca
A conexão usa o padrão OAuth com prova de posse (PKCE), com um identificador de sessão aleatório de uso único que expira em 1 hora. Sua senha não passa pela Melina em nenhum momento.
Revogável em um clique
Você tira o acesso quando quiser, direto no painel do Mercado Livre, sem pedir nada para nós e sem depender da nossa boa vontade.
A revogação é respeitada na hora
Assim que o acesso é revogado, a renovação do token falha, a conta é marcada como desconectada e as rotinas param de tocar nela. Não é promessa: é o que o código faz sozinho.
Permissões
Tudo o que a Melina escreve na sua conta cabe em três linhas
A esmagadora maioria do que a Melina faz é leitura: ela observa anúncios, campanhas, pedidos, estoque e reputação para te avisar. Escrever na sua conta é a exceção, e esta é a lista inteira.
Aderir ou ajustar uma promoção
Só quando você aprova a campanha no portal, item a item.
Criar uma campanha do vendedor e incluir anúncios nela
Desligado por padrão. Só roda se você pedir e a equipe habilitar.
Responder uma pergunta de comprador
Desligado por padrão, exige telefone confirmado. Hoje está pausado.
Fora dessas três, a Melina só lê. Cada ação de escrita fica registrada em tabela de auditoria, com origem e horário, de forma que dá para reconstruir depois quem fez o quê. E a equipe de suporte, quando abre o seu portal para te ajudar, não consegue disparar nenhuma delas: o modo de suporte bloqueia alteração.
Certificação
Ainda não somos uma aplicação certificada. Vale explicar por quê.
O Mercado Livre mantém um programa de parceiros com uma vitrine pública de aplicações certificadas. A Melina ainda não está nessa vitrine, e a razão não tem a ver com conformidade nem com segurança: o critério de corte é de porte.
Para se candidatar, a soma do faturamento mensal dos vendedores ativos que usam a ferramenta precisa ultrapassar USD 2,5 milhões por mês no Brasil, além de uma avaliação de segurança e de um conjunto de desenvolvimentos atribuídos pelo próprio Mercado Livre. É um programa de escala comercial, com medalhas e exposição promocional, e não um selo que separa aplicação autorizada de aplicação não autorizada.
Ou seja, é uma questão de quando, não de se. Estamos crescendo em direção a esse patamar e acompanhamos o indicador internamente, todo dia. Quando chegarmos lá e concluirmos a avaliação, esta página vai anunciar com a mesma clareza com que hoje diz que ainda não chegamos.
O que já vale hoje: a Melina é uma aplicação registrada no Mercado Livre e opera exclusivamente pela API oficial, sem raspagem de dados. Aceitamos os Termos e Condições do Programa de Desenvolvedores e fizemos uma auditoria própria, cláusula a cláusula, da versão vigente. Dela saíram correções que já estão em produção, incluindo política de expurgo de dados, indicação de quando cada informação foi atualizada e um procedimento que nos obriga a comunicar o Mercado Livre em até 24 horas diante de um incidente de segurança.
Seus dados
Guardados de forma que uma chave vazada não abre nada
Invisível para credencial pública
Todas as tabelas têm Row-Level Security ligada e nenhuma política para os papéis anônimo e autenticado, o que no Postgres significa negar tudo. Além disso, os privilégios foram revogados no nível de permissão do banco. Na prática, uma chave pública vazada não lê uma linha sequer.
Um único caminho de acesso
Os dados só são alcançáveis por credencial de serviço, sempre do lado do servidor, nunca do navegador. O escopo da sua conta é aplicado em cada consulta, a partir do vínculo entre o seu login e o seu ID de vendedor.
Tokens criptografados em repouso
O token de acesso à sua conta é gravada criptografada, tanto na autorização inicial quanto a cada renovação automática. A chave que abre esse conteúdo vive apenas na configuração do servidor e nunca é gravada no banco de dados.
Nada de segredo no código
Nenhuma credencial fica no código-fonte, e nenhum arquivo de configuração sensível é versionado, o que é verificado por varredura em todo o histórico do repositório. Arquivos de diagnóstico com dado de cliente são bloqueados por regra do próprio repositório.
Navegador protegido por padrão
HSTS com preload, Content-Security-Policy com nonce por requisição, bloqueio de enquadramento em iframe, proteção contra sniffing de tipo e política de referrer restritiva. O acesso à API é liberado apenas para o domínio do aplicativo.
Nossa equipe
Quem, do nosso lado, alcança o quê
Confiança não é só sobre invasores. É também sobre o que as pessoas de dentro conseguem fazer.
Painel interno com lista fechada
O acesso da equipe é limitado a uma lista de e-mails autorizados, reconferida em três camadas independentes: no roteamento, na montagem da página e em cada operação de escrita. A redundância é proposital.
Suporte que enxerga, mas não age
Para dar suporte, a equipe pode abrir o seu portal em modo somente leitura. A sessão é assinada criptograficamente, expira sozinha, bloqueia qualquer alteração e fica registrada em tabela de auditoria no banco.
Rotas administrativas com segredo próprio
Toda rota administrativa exige um segredo verificado de forma resistente a ataque de tempo. Sem ele, a resposta é negada, e o sistema avisa a equipe se esse segredo não estiver configurado.
LGPD
Seus direitos, exercíveis sem falar com ninguém
Levar seus dados embora
Pelo próprio portal você exporta tudo o que temos sobre você em JSON. A exportação passa por uma limpeza recursiva que remove credenciais e chaves: você leva os seus dados, não as nossas chaves de acesso.
Pedir exclusão
A solicitação entra numa fila revisada pela equipe, com janela de 15 dias úteis, e a execução é auditada. Dados operacionais são apagados; registros com obrigação fiscal são anonimizados em vez de removidos.
Expurgo automático por prazo
Registros de webhook são apagados após 90 dias, o histórico de mensagens e os relatórios em PDF após 12 meses, e cadastros de interesse não convertidos após 7 dias. Tudo por rotina automática, não por lembrete humano.
Papéis definidos
Você é o Controlador dos dados; a Melina é Operadora, tratando-os para executar o que você contratou. Se um consultor parceiro indicou você, ele enxerga o histórico de avisos da carteira dele, o que também consta da política de privacidade.
Detalhe completo na política de privacidade e nos termos de uso.
Transparência
O que vem a seguir
Segurança não é um estado que se alcança e se esquece. Esta é a etapa formal em que estamos trabalhando agora.
Avaliação de Segurança do Mercado Livre
É uma das etapas formais do programa de parceiros e a nossa próxima. Quando concluirmos, esta página vai dizer.
Ficou alguma dúvida de segurança?
Fale com a gente antes de conectar. Preferimos responder uma pergunta difícil agora do que perder sua confiança depois.