---
title: Segurança
description: Redaction, secrets, execução com escrita e limites de automação.
context: Regras para não vazar credenciais nem mutar workspace sem adapter explícito.
---

# Segurança

O SDD trata segurança como contrato operacional. Secrets não podem aparecer em logs, artifacts, memory, review, stdout/stderr persistido ou traceability.

## Secrets

Registre nomes de variáveis, não valores:

```text
OPENAI_API_KEY
ANTHROPIC_API_KEY
GEMINI_API_KEY
RIG_PROVIDER_API_KEY
```

Valores devem ficar em ambiente seguro do provider ou do projeto.

## Redaction

Arquivos em `src/runtime/redaction.rs` e o contrato de logs devem remover ou mascarar:

- API keys;
- bearer tokens;
- passwords;
- auth headers;
- payloads sensíveis;
- stdout/stderr com segredo.

## Escrita no workspace

Geração de artefato pode persistir Markdown via `sdd artifact save`. Execução que altera código precisa de adapter de escrita. Nesta versão, execução real com escrita é restrita ao adapter Codex.

## Automação

Ausência de evento não aprova gate. Timeout não aprova gate. Workflows não podem autoaprovar checkpoints. Deploy e merge exigem decisão humana explícita.
