Fim do suporte direto ao Facebook por exigências de segurança

Kevin van Zonneveld

Cofundador · Amsterdã, Países Baixos · Mostrar biografia

Após nossos desafios recentes com as mudanças na API do Google, estamos passando por uma situação semelhante com o Facebook. Apesar de termos passado nas auditorias anuais de segurança do Facebook durante anos, os requisitos de 2025 trouxeram exigências incompatíveis com ambientes modernos de trabalho distribuído e, francamente, contraproducentes para a segurança real. Por isso, não podemos mais manter o app OAuth da Transloadit para o Facebook, embora os clientes possam continuar usando a integração com suas próprias credenciais.

O que aconteceu?

Todos os anos, o Facebook realiza auditorias de segurança nos apps que se integram à sua plataforma. Sempre passamos nessas auditorias ao demonstrar nossas práticas robustas de segurança. Neste ano, porém, o Facebook acrescentou um requisito que demonstra uma incompreensão fundamental de como operam as empresas modernas de tecnologia: agora exige que instalemos software antivírus em todas as estações de trabalho e distribuamos atualizações das definições a partir de um servidor central.

Por que isso não funciona para nós (nem para muitas empresas modernas)

Primeiro, há a realidade de uma equipe distribuída. A Transloadit opera com uma equipe de freelancers qualificados que trabalham exclusivamente em seus próprios dispositivos, no nosso caso, MacBooks. São computadores pessoais, não equipamentos da empresa. Instalar software de gerenciamento centralizado em dispositivos pessoais violaria leis de privacidade em diversas jurisdições, exigiria um nível de controle dos dispositivos inadequado para relações com prestadores de serviços e criaria vulnerabilidades de segurança ao nos conceder acesso de nível root a computadores pessoais.

A exigência recente do Facebook também contraria a arquitetura moderna de segurança. Nosso modelo de segurança segue princípios de confiança zero. Isso significa que presumimos que todos os endpoints podem estar comprometidos e aplicamos controles de segurança no nível do servidor/API, onde os dados realmente trafegam. Isso é mais seguro do que depender de antivírus nos endpoints, que podem gerar uma falsa sensação de segurança.

Por fim, há particularidades de cada plataforma a considerar, algo que o Facebook não faz com seu novo requisito. Todos os integrantes da nossa equipe usam macOS, que inclui o XProtect: o sistema antivírus integrado da Apple, atualizado automaticamente. Instalar software antivírus de terceiros com acesso ao nível do kernel, além dessa proteção, na verdade diminuiria a segurança ao introduzir superfícies de ataque adicionais.

O que fazemos em vez disso

Embora não distribuamos atualizações de antivírus de forma centralizada para os dispositivos macOS pessoais dos freelancers, mantemos a segurança por meio de:

• Obrigações contratuais: todos os integrantes da nossa equipe assinam acordos que exigem:

  • Atualizações automáticas ativadas no sistema operacional e nos softwares críticos
  • Criptografia de disco completo
  • Autenticação de dois fatores em todos os serviços críticos
  • Treinamento regular de segurança

• Proteção no servidor: onde os dados do Facebook realmente trafegam, mantemos:

  • Varredura antivírus com o ClamAV nos arquivos recebidos
  • Atualizações diárias automatizadas do sistema operacional e de segurança
  • Registro abrangente de logs e monitoramento
  • Auditorias de segurança realizadas por terceiros
  • Testes de invasão contínuos

• Isolamento da infraestrutura: os sistemas de produção são completamente isolados das estações de trabalho dos desenvolvedores, com acesso controlado por chaves SSH e uma lista de IPs permitidos.

O desgastante vaivém

Apesar de apresentarmos evidências extensas das nossas práticas de segurança e detalharmos por que o gerenciamento centralizado de endpoints é impossível e desnecessário para nosso modelo distribuído com prestadores de serviços, o processo de análise do Facebook continuou inflexível. Apresentamos:

• Capturas de tela dos nossos sistemas automatizados de atualização de servidores
• Logs que comprovam atualizações diárias de segurança em produção
• Evidências de que o ClamAV está em execução em todos os servidores que processam dados de usuários
• Documentação dos nossos requisitos contratuais de segurança
• Comprovação de que executamos mais de 52.000 varreduras antivírus em um período de 48 horas

Ainda assim, as respostas continuavam exigindo “um console centralizado pelo qual as atualizações do macOS sejam distribuídas a todos os dispositivos dos usuários”. Essa exigência é francamente absurda e serve principalmente para demonstrar uma desconexão fundamental entre a TI corporativa e a forma como as equipes modernas e distribuídas realmente operam.

Tomar uma decisão difícil

Após meses de idas e vindas, ficou claro que o processo de avaliação de segurança do Facebook foi projetado para empresas tradicionais, com equipamentos próprios e departamentos de TI centralizados. Ele não contempla modelos modernos de trabalho distribuído, equipes formadas por prestadores de serviços, arquiteturas de segurança de confiança zero e as implicações legais de gerenciar computadores pessoais.

Continuar insistindo nisso exigiria recursos que simplesmente não temos como uma pequena empresa focada em criar ótimas experiências de upload de arquivos. Mais importante, cumprir esses requisitos na verdade reduziria nosso nível de segurança, ao nos obrigar a instalar software desnecessário com acesso profundo ao sistema em computadores que não nos pertencem.

Impacto para nossos clientes

Lamentamos profundamente os transtornos que isso causa. Sabemos que muitos clientes dependem da integração com o Facebook em suas aplicações e que mudanças incompatíveis como essa são frustrantes. Fizemos o possível para manter essa integração, mas não estamos dispostos a encenar uma segurança de fachada que colocaria em risco os dispositivos pessoais dos integrantes da nossa equipe. Esperamos que o Facebook reconsidere sua posição no futuro, mas não contamos com isso.

O caminho a seguir: use suas próprias credenciais

O Uppy continua oferecendo um plugin do Facebook. Para usá-lo com seu próprio app do Facebook, é necessário:

1. Criar seu próprio app do Facebook em developers.facebook.com⁠
2. Cumprir os requisitos da Meta de análise do app e acesso em produção para os usuários pretendidos
3. Configurar o Uppy para usar suas credenciais com uma destas opções:
   • Seu próprio servidor Companion
   • O Companion hospedado pela Transloadit com credenciais personalizadas

Configurar credenciais personalizadas com a Transloadit

Para o Companion hospedado pela Transloadit, crie uma credencial de terceiros no seu Workspace, selecione “Companion OAuth” e Facebook e armazene ali o ID e o segredo do seu app do Facebook. Mantenha tanto o segredo do app do Facebook quanto seu Auth Secret da Transloadit no servidor, fora do código do navegador. Passe sua Auth Key da Transloadit e o nome da credencial para sua instância existente do Uppy:

import Facebook from '@uppy/facebook'
import { COMPANION_ALLOWED_HOSTS, COMPANION_URL } from '@uppy/transloadit'

uppy.use(Facebook, {
  companionUrl: COMPANION_URL,
  companionAllowedHosts: COMPANION_ALLOWED_HOSTS,
  companionKeysParams: {
    key: 'YOUR_TRANSLOADIT_AUTH_KEY',
    credentialsName: 'my_facebook_credentials',
  },
})

Para obter instruções detalhadas, consulte nosso guia sobre como usar credenciais personalizadas⁠.

Um padrão mais amplo

Isso não se limita ao Facebook ou ao Google. Trata-se de uma desconexão crescente entre a forma como as grandes plataformas abordam a segurança e como as empresas modernas realmente operam. Parte-se do pressuposto de que toda empresa tem dispositivos próprios, gerenciamento centralizado de TI, infraestrutura baseada em Windows e relações tradicionais de emprego.

Isso está claramente distante da realidade, e cada vez mais. Muitas das empresas mais inovadoras da atualidade trabalham com equipes distribuídas, prestadores de serviços e políticas de BYOD. Os modelos de segurança precisam evoluir para reconhecer que o gerenciamento centralizado de endpoints nem sempre é possível, ou mesmo desejável.

Olhando para o futuro

Continuaremos oferecendo suporte ao plugin do Facebook no Uppy e ajudando os clientes que desejam manter suas próprias integrações. Também estamos explorando abordagens alternativas que talvez permitam evitar esses requisitos onerosos, de forma semelhante aos nossos plugins do Google Picker.

Continuamos com o compromisso de oferecer a melhor experiência possível de upload de arquivos, mesmo com os desafios crescentes nas integrações com terceiros. Agradecemos sua compreensão e seu apoio contínuo.

Você tem mais dúvidas ou precisa de ajuda com a migração? Nossa equipe de suporte está pronta para ajudar você a configurar suas próprias credenciais do Facebook ou explorar soluções alternativas. Entre em contato e teremos prazer em orientar você durante o processo.