1. Dois tipos de segredo
1) Token SSO: gerado na hora, HMAC assinado, expira em cerca de 60 segundos, usado só para abrir apps do ecossistema. 2) Cofre da Fábrica: usuário e senha de sistemas legados, gravados por usuário, cifrados no banco, nunca listados em texto puro no catálogo.
2. Cofre da Fábrica (como funciona)
Ao abrir um app cadastrado pela primeira vez, o FormiOS pede usuário e senha. A senha é cifrada (AES-256-CBC com IV aleatório) e salva em formios_user_app_credentials, ligada ao user_id. Na listagem só aparece se há credencial salva — não a senha. Um colaborador não acessa o cofre de outro.
3. O que a sessão controla
Toda API do catálogo e do SSO exige login FormiOS (session user_id). Sem sessão válida não há leitura nem gravação de credenciais. Grants de apps SSO (user_external_apps) limitam quem pode abrir cada sistema integrado.
4. Boas práticas para a empresa
Não compartilhe uma senha genérica no time — cada pessoa grava a própria no cofre. Prefira SSO (nível 2) quando o sistema aceitar token, para reduzir senhas guardadas. Rotacione senhas de legados e peça ao usuário atualizar no modal do FormiOS. Admins não devem pedir senha por chat ou e-mail.
5. Limitações atuais (transparência)
A chave do cofre ainda deriva de material fixo do ambiente (melhoria planejada: chave em variável de ambiente / KMS e libsodium). get_credentials devolve a senha só para o dono autenticado, no fluxo de abertura — não para terceiros. Tokens SSO de 60s reduzem janela de reuso se vazarem na URL.
6. Roadmap de endurecimento
Chave de cofre via FORMIOS_VAULT_KEY (env), migração para sodium secretbox, auditoria de acesso ao cofre (quem abriu o quê e quando), opção de não reexibir senha (somente atualizar), e bloqueio por política de empresa (proibir cofre em apps que já têm SSO).
7. O que não fazer
Guardar senha em planilha ou WhatsApp. Usar a mesma conta legada para todo o setor. Abrir app crítico fora do desktop (aba anônima sem cofre nem grant). Desativar HTTPS no ambiente de produção.