O encurtador que a sua equipe de segurança não vai rejeitar.
Você mede a postura de compliance, tempo de resposta a incidentes e o número de questionários de segurança que você consegue superar. O Elido é o shortener que a sua equipe de segurança não vai rejeitar.
- SAML SSO + SCIM via o nosso provedor de SSO ou nativo - Okta, Entra ID, Google
- Banco de dados principal na UE; ainda sem seleção de região por espaço de trabalho
- SOC 2 em preparação, sem relatório emitido
- ISO 27001 não certificada; DPA disponível a pedido
Como funciona o SSO
Okta ou Entra ID → SAML → Elido. Doze minutos desde o início.
O SSO é encaminhado através do WorkOS, que normaliza as diferenças de protocolo entre SAML 2.0 e OIDC e as particularidades por IdP que ninguém quer manter. A sua equipe configura o aplicativo SAML uma única vez no IdP; o Elido selecciona usuários por mapeamento de domínio de e-mail → conexão.
- Step 1
User signs in
okta.com / login.microsoftonline.comIdP authenticates against the corporate directory.
- Step 2
SAML assertion
WorkOS connection · domain-routedEmail-domain → IdP connection mapping, no per-user setup.
- Step 3
Elido session
edge auth · 200 OKSession token issued, scope derived from group claims.
- Step 4
Workspace landing
app.elido.app/w/your-orgRole + IP allowlist evaluated; audit row written.
Provisionamento SCIM
Adicione um usuário no Okta. Está no Elido em cinco minutos.
A sincronização de diretório SCIM 2.0 provisiona e deprovisions usuários automaticamente. O mapeamento de claims de grupo converte grupos de IdP em funções de espaço de trabalho do Elido, de modo que uma promoção no sistema de RH se reflete no Elido sem um ticket. Os funcionários que saem são deprovisionados dentro do ciclo de sincronização SCIM, com sessões ativas revogadas e a ação registrada.
- Provisionamento automático ao adicionar ao grupoMembro do grupo IdP → convite ao espaço de trabalho, sem passo manual
- Mapeamento de funções por claim de grupoengineering-eu → editor, finance → viewer, configurável
- Deprovisionamento = revogação de sessãoEvento DELETE invalida tokens; chaves de API revogadas por política
- Cada evento SCIM é auditadoRegistro de acréscimo com ator, antes/depois, IP de origem
- 1User added in Okta
Joins the elido-eu-engineering directory group as part of HR onboarding.
okta.comPOST /scim/v2/UsersT+75s - 2WorkOS pushes to Elido
SCIM sync cycle picks up the create event; no manual invite needed.
workos.com → elido.appscim.create user@orgT+150s - 3Elido provisions the user
Account created, workspace invitation surfaced in pending state.
api-coreuser.id = usr_01HK…T+225s - 4Group claim → role
engineering → editor; billing-admins → admin. Mapping is configurable.
policyrole: editor (workspace.eu)T+300s - Deprovision is the same flow in reverse - DELETE event revokes sessions and rotates affected API keys per policy.
Modelo de autorização
RBAC baseado em Cedar, não uma hierarquia fixa de três níveis.
A matriz abaixo é a vista de origem. As funções personalizadas permitem expressar coisas como "criar links apenas neste domínio" ou "somente leitura em análises, sem acesso o faturamento" como políticas Cedar. As funções têm escopo por espaço de trabalho, de modo que diferentes unidades de negócio podem ter estruturas de funções diferentes.
O que o TI empresarial realmente obtém
- SAML SSO + SCIM via o nosso provedor de SSO ou nativo - Okta, Entra ID, Google
- Banco de dados principal na UE; ainda sem seleção de região por espaço de trabalho
- SOC 2 em preparação, sem relatório emitido
- ISO 27001 não certificada; DPA disponível a pedido
- BAA no Business+ para cargas de trabalho adjacentes à HIPAA
- POPs de edge dedicados disponíveis para contratos Enterprise
O que a TI corporativa realmente precisa de um encurtador
Encurtadores shadow-IT falham na análise de procurement em três perguntas: quem tem acesso, onde ficam os dados e é possível auditá-los. As funcionalidades abaixo são o que fecha essas lacunas.
SSO SAML via WorkOS com provisionamento de usuários SCIM
O SSO é via WorkOS, que suporta SAML 2.0 e OIDC com qualquer grande IdP: Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping e outros. O mapeamento de domínio de e-mail → conexão direciona os usuários ao IdP correto sem qualquer configuração do lado do usuário. A sincronização de diretório SCIM provisiona e desprovisiona usuários automaticamente: novos funcionários adicionados ao grupo relevante do IdP recebem um convite de workspace do Elido em minutos; funcionários desligados são desprovisionados dentro do ciclo de sincronização SCIM sem uma chamada de offboarding manual. Grupos do IdP são mapeados para funções de workspace do Elido; você configura o mapeamento uma vez. Mudanças de função no IdP são propagadas automaticamente. Esta é uma integração gerenciada pelo WorkOS - não mantemos um conector por IdP; o WorkOS normaliza os protocolos e o Elido consome um único endpoint SCIM.
Funções personalizadas com RBAC estilo Cedar - além de owner/admin/member
O modelo de funções do Elido é baseado em Cedar, o que significa que as permissões são expressões de política avaliadas em tempo de requisição, não uma hierarquia fixa de três camadas. Disponíveis por padrão: Owner, Admin, Member e Viewer. Funções personalizadas permitem definir políticas como 'pode criar links neste domínio, mas não pode deletar ou alterar regras de roteamento' ou 'acesso somente leitura a analytics sem acesso às configurações de faturamento'. As funções são atribuídas por workspace, não globalmente - uma empresa com múltiplos workspaces pode ter estruturas de funções diferentes por unidade de negócio. A lista de permissão por IP (intervalos CIDR) é avaliada junto com as verificações de função: um usuário com a função correta mas fora do intervalo de IP permitido é negado. Isso é relevante para equipes híbridas onde contratados acessam um subconjunto diferente dos funcionários em tempo integral.
Log de auditoria append-only transmitido ao seu SIEM em tempo real
Cada ação no espaço de trabalho - criar, atualizar, excluir link; alteração de configuração; convite de membro e mudança de função; emissão e rotação de chave de API; reivindicação de domínio personalizado; exportação - fica registrada num log de auditoria append-only com ator, timestamp, IP de origem, diff antes/depois e um tipo de evento estruturado. Os logs são retidos durante 730 dias por padrão, configurável por espaço de trabalho. O firehose SIEM transmite eventos via webhook (assinado com HMAC-SHA256) para Splunk, Datadog, ELK ou qualquer recetor HTTP em tempo real. O log é consultável no painel, mas não editável; o log é append-only na aplicação e cada entrada está encadeada por hash à anterior, de modo que a adulteração é detectável. Postura de conformidade: o log de auditoria é a principal evidência para revisões de controle de acessos, gestão de alterações e resposta a incidentes. Um meta-evento de 'exclusão por retenção' é registrado quando as entradas antigas expiram, de modo que a própria lacuna é auditável.
Residência na UE, lista de permissão por IP e exportação BigQuery para requisitos de governança de dados
A banco de dados principal, o armazenamento de análise e os backups estão hospedados na UE. Os nós de redirecionamento nos EUA (Ashburn) e em Singapura também processam pedidos de visitantes; a seleção de região por espaço de trabalho ainda não está disponível. A lista de IPs permitidos (CIDR) no Business restringe o acesso ao espaço de trabalho a intervalos de saída conhecidos, útil para equipes com VPN ou IPs de escritório fixos. A exportação para o BigQuery envia o fluxo completo de eventos de clique e do registro de auditoria para um conjunto de dados BigQuery seu, agendado ou por gatilho. Snowflake e S3 também são suportados. Para cargas reguladas que exigem que os dados fiquem numa infraestrutura específica, a auto-hospedagem está disponível por contrato (Enterprise); entre em contato com [email protected]. O BAA HIPAA está disponível no Business+: as salvaguardas técnicas (criptografia, registro de auditoria, controles de acesso, notificação de violações) estão implementadas; o BAA é o invólucro jurídico em volta delas.
Evidências de conformidade: DPA, subprocessadores, estado de segurança
Respondemos às perguntas de compras sem longas cadeias de e-mails: o DPA está disponível a pedido em [email protected] (inclui as CCT da UE); a lista de subprocessadores é pública em /legal/subprocessors (13 fornecedores); os relatos de vulnerabilidades vão para [email protected] e o security.txt está no caminho padrão. Status das certificações, sem rodeios: o SOC 2 está em preparação e não foi emitido nenhum relatório; a ISO 27001 não está certificada. O Trust Center em /trust acompanha o estado atual.
Stack com que vai interagir
- SSO (SAML / OIDC)
- Provisionamento SCIM
- Funções personalizadas (RBAC)
- IP allowlist
- Audit log + firehose SIEM
- EU-residency
- HIPAA BAA
O que a sua equipe de segurança mede
- Contagem de sub-processors
- 13, lista pública
- Retenção de audit log
- 730 dias por padrão
- Tempo de resposta DSAR
- Menos de 30 dias
Elido vs Bitly Enterprise vs Bl.ink para TI corporativa
Bitly Enterprise e Bl.ink são opções de nível corporativo com longas bases instaladas. A comparação abaixo foca nas funcionalidades que equipes de TI corporativa avaliam, não em alegações de marketing.
Perguntas de TI corporativa
Quais IdPs o SSO suporta?
Qualquer IdP que suporte SAML 2.0 ou OIDC - Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping, Rippling e outros. A integração é via WorkOS, que normaliza as diferenças de protocolo. Se o seu IdP fala SAML ou OIDC, funciona. A configuração é um fluxo guiado pelo WorkOS: configure o app SAML no seu IdP, cole a URL de metadados no Elido, pronto.
Como funciona o desprovisionamento SCIM?
O WorkOS gerencia o endpoint SCIM 2.0. Quando um usuário é removido do grupo relevante no seu IdP, o WorkOS envia um evento DELETE para o Elido. O Elido revoga imediatamente os tokens de sessão do usuário e marca a conta como inativa. As chaves API ativas associadas a esse usuário não são revogadas automaticamente - essa é uma etapa separada que você configura nas configurações SCIM, com padrão de revogar no desprovisionamento. A ação de desprovisionamento aparece no log de auditoria dentro do ciclo de sincronização SCIM (normalmente em menos de 5 minutos).
O que a lista de permissão por IP cobre?
Login no dashboard, requisições de API e confirmação de entrega de webhook. Notação CIDR é suportada; múltiplos intervalos são separados por vírgula. Requisições de fora da lista de permissão retornam um 403 com um evento de auditoria registrado - sem drops silenciosos. A lista de permissão por IP é avaliada após a autenticação, não antes, então falhas de autenticação de fora da lista ainda registram a tentativa.
Podemos obter um BAA para conformidade com HIPAA?
Sim, no Business+. O BAA cobre o papel do Elido como associado de negócios para workspaces onde PHI pode passar por metadados de link ou analytics. As salvaguardas técnicas (criptografia em repouso e em trânsito, trilha de auditoria, controles de acesso, notificação de violação) já estão implementadas. Entre em contato com [email protected] para o modelo de BAA.
Qual é o status do SOC 2?
O SOC 2 está em preparação e não foi emitido nenhum relatório. A ISO 27001 não está certificada. Não compartilhamos evidências de auditoria que não temos; escreva para [email protected] para receber as respostas atuais ao questionário de segurança. O Trust Center em /trust acompanha o estado atual.
Como funcionam as funções personalizadas - posso restringir uma equipe a somente leitura em um domínio específico?
Sim. As funções personalizadas definem políticas baseadas em Cedar que podem escopar permissões a domínios específicos, pastas específicas ou operações específicas (criar/ler/atualizar/deletar). Uma função que permite a criação de links somente em um domínio personalizado específico e acesso somente leitura a analytics é uma política válida. As funções são por workspace; um usuário pode ter funções diferentes em workspaces diferentes. A avaliação de política ocorre em tempo de requisição, não no login.
Existe uma opção de edge dedicado para clientes Business?
O tier Business usa os POPs de edge compartilhados do Elido (região da UE, Leste dos EUA, Ásia-Pacífico). Um edge dedicado - sua própria frota de nós de redirecionamento, com tráfego isolado de outros inquilinos - é uma conversa para Enterprise. Entre em contato com [email protected]. A auto-hospedagem também está disponível por contrato (Enterprise).
Qual é o SLA de notificação de violação?
Notificação ao cliente em 24 horas para violações de dados pessoais confirmadas; notificação ao regulador em 72 horas (GDPR Art. 33). A notificação cobre o que sabemos naquele momento - não aguardamos a perícia forense completa. O processo está em /trust/incident-response.
Lista de leitura do TI empresarial
SAML/OIDC gerenciado pelo WorkOS, deprovisionamento SCIM 2.0, guias de IdP.
Hostname do portal com marca, e-mails transacionais, paridade de subprocessadores.
Estado do SOC 2, subprocessadores, divulgação de vulnerabilidades.
Adenda de tratamento de dados do RGPD, CCT da UE incluídas, disponível a pedido.
OpenAPI 3.1, SDKs em TypeScript / Go / Python, webhooks.
Postura de criptografia, modelo RBAC, registro de auditoria, lista de permissões de IP.
Não tem certeza de qual abordagem se encaixa melhor?
A maioria das equipes começa com uma e evolui para todas as quatro. Nossa equipe de vendas pode analisar sua stack específica em 20 minutos.