Chave Pública PGP

Chave atual

Como verificar esta chave

You should verify the key before trusting it. Four independent channels to cross-check the fingerprint A62A EDAF 647E E3E6:

1. This page, fetched over HTTPS with a valid TLS certificate from Let's Encrypt.
2. DNS — _openpgpkey.bitvps.io TXT record lists the same fingerprint.
3. Keybase — keybase.io/bitvps (cross-signed on Twitter/Mastodon).
4. Keyservers — keys.openpgp.org, keyserver.ubuntu.com, pgp.mit.edu.

If any of the four disagree with the fingerprint on this page, do not use the key and report the discrepancy via PGP.

O que assinamos com esta chave

• Warrant canary semanal — /canary.
• Correspondência de suporte em assuntos sensíveis (uso indevido, questões legais, disputas de cobrança).
• Recibos de faturas mediante solicitação.
• Publicação do Relatório de Transparência (semestral).

E-mails automáticos do sistema (redefinição de senha, alertas de uso) não são assinados por PGP. Não presuma que um e-mail automático não assinado é autoritativo — verifique pelo painel.

Rotação de chave

Rotacionamos a chave primária a cada três anos, com sobreposição: a nova chave é publicada seis meses antes do vencimento, com assinatura cruzada pela chave de saída, e a transição é anunciada nesta página, no canary e por e-mail aos titulares de conta com chaves públicas PGP cadastradas.

Caso a chave seja comprometida ou haja suspeita de comprometimento, um certificado de revogação é publicado imediatamente nesta página, nos servidores de chaves listados acima e na próxima publicação do canary. Mantemos o certificado de revogação pré-assinado offline, dividido via compartilhamento de segredo de Shamir entre o secretário da empresa em Saint Kitts e dois diretores não operacionais.

Nos enviar uma mensagem assinada ou criptografada

Para assuntos sensíveis (relatos de uso indevido envolvendo pessoas identificáveis, notificações legais, divulgações de pesquisa de segurança, consultas sensíveis de cobrança) recomendamos e-mail criptografado por PGP e/ou assinado.

Caso você não possua chave PGP própria e ainda assim queira nos contatar por um canal criptografado de ponta a ponta, mencione isso em um solicite uma chave via PGP e configuraremos uma sala efêmera no Signal ou Element para a troca de informações.