Capacidades

gateway.hummand.com.br, versão 0.31.0, no ar desde 2026-10-24: domínio do ato, política global endurecida por cliente, fontes nativas, mandatos, alertas, privacidade, idempotência na criação, ponto de conferência das duas cadeias, fila de revisão humana, encerramento de contrato com janela e recibo assinado de cada acesso à evidência. Desde a 0.21.0, o painel cria ato pela mesma porta da API; desde a 0.22.0, o estado ao vivo de cada cliente; da 0.23.0 à 0.28.0, controle de acesso, orquestração por tipo de ato, dossiê, busca, unidades, retenção por base legal e ciclos de reverificação; na 0.29.0, o dossiê compartilhado com terceiro; na 0.30.0, a ancoragem em carimbo do tempo, pronta e desligada até o contrato da autoridade (em credenciamento, abaixo); na 0.31.0, a chave restrita a um tipo de ato. Contrato OpenAPI versionado e cliente TypeScript gerado dele.

Assinatura no módulo de chaves desde 2026-09-06, chave hp-2026-09. Chave pública em gateway.hummand.com.br/.well-known/humanproof/keys.json. Cadeia dos recibos de produção verificada desde o gênesis, fora da Hummand.

labs.hummand.com.br/verificar no ar desde 2026-09-06, em WebAssembly, sem envio. humanproof-verify 0.3.0 com binários para Linux, macOS e Windows e checksums, distribuído aos clientes; lê o mandato, o recibo de acesso e o ponto das duas cadeias, e emite o relatório também como página autocontida, para imprimir em PDF.

Desde 2026-10-19, a página confere o pacote inteiro exportado do painel, com o que ele afirma além dos recibos, e o recibo de quem abriu um dossiê compartilhado. Desde 2026-10-24, confere também a prova de ancoragem, com as raízes da ICP-Brasil embutidas.

verificar.hummand.com.br: a jornada dirigida por política, por link. dash.hummand.com.br: o painel do cliente, que desde 2026-09-28 cria ato e campanha em lote, lista e revoga mandatos, busca e exporta atos em CSV, filtra a trilha de auditoria, compara períodos no analytics e mostra as sessões abertas; desde 2026-10-06, o Ao vivo, uma tela de parede para a sala de controle do cliente, só com agregados; desde 2026-10-18 e 2026-10-19, orquestrações, dossiê do ato, busca, minha fila, unidades, ciclos de reverificação, relatório e lembrete da campanha, demonstração do ato de teste, reentrega de webhook esgotado e central de suporte. Console de operação e fila de revisão humana, cada um atrás do acesso da borda e com credencial própria: o console vê quem revisou, e não decide. Publicados pelo Cloudflare Pages.

Três níveis, do mais estreito ao mais amplo: analista, supervisor e administrador. A autorização é por piso: cada rota de sessão declara o nível mínimo, e uma suíte lê o roteador para provar que nenhuma ficou de fora.

O mínimo de dois administradores é trava na saída e aviso na entrada. No ar desde 2026-09-14. Desde 2026-09-28, um administrador não altera nem remove outro: entre pares não há hierarquia.

Desde 2026-10-19, o perfil Auditor, que lê o que o supervisor lê e não escreve, e a revisão periódica de acessos.

Um ato que precisa de decisão humana vai para uma fila com superfície própria: autenticar, ver a fila, abrir o caso, abrir a evidência e registrar o veredito, e nada além disso. Quem revisa tem credencial própria, que não abre o console, e decidir exige presença provada na hora.

O veredito segue um protocolo versionado que o servidor serve, com vocabulário fechado de justificativa: o terceiro veredito devolve o ato para nova tentativa em vez de concluí-lo. No ar desde 2026-09-17.

Abrir o conteúdo cifrado de um ato exige uma pessoa, um motivo declarado e deixa registro. O cliente lê no painel dele quem abriu, quando e com que motivo, inclusive as aberturas feitas pela Hummand, e cada entrada carrega o elo de hash da trilha. Desde 2026-09-24, cada abertura gera também um recibo assinado, numa cadeia própria por cliente, verificável fora da Hummand.

Junto, toda visualização de dado de cliente pelo console interno deixa registro atribuível: é o mecanismo de controle do console, que por decisão não tem níveis. No ar desde 2026-09-17.

Lista de IPs do painel e da API, definida pelo administrador, com cada gravação numa versão nova. SSO com Google, opcional por cliente; Microsoft sob pedido. Entrar no painel com passkey, sem senha nem código. No ar desde 2026-10-18 e 2026-10-19.

O cliente pode guardar a parte cifrada de um tipo de ato por mais tempo que o padrão, até 20 anos, só com base legal declarada, e preservar um ato ou uma campanha em disputa. No ar desde 2026-10-19.

Um ciclo abre cada rodada sozinho, no mês de aniversário de cada pessoa, todo mês ou numa data, com os campos da casa para agrupar. A rodada fecha com quantos comprovaram e o valor coberto e em risco, somados do valor informado pelo cliente, não estimativa. No ar desde 2026-10-19.

Ajuda pesquisável e chamados com texto e imagem, abertos por qualquer pessoa da equipe e respondidos pela equipe Hummand; a resposta chega como notificação no painel. No ar desde 2026-10-19.

O cliente gera um link com prazo para o dossiê de um ato, com destinatário e finalidade declarados, para quem precisa acreditar na prova: auditor, tribunal de contas, operadora, juiz. Quem recebe abre sem conta, cada abertura vira um recibo assinado que o cliente vê no painel, e o link pode ser revogado. No ar desde 2026-10-19.

hummand 0.4.0 e humanproof-core 0.8.1 no PyPI desde 2026-10-24, sob Apache-2.0: o cliente da API, a verificação offline do recibo e, com hummand[mcp], o servidor MCP de mandato, com três ferramentas e nenhuma que revogue. Testado de ponta a ponta em produção com jornada real no celular.

O servidor avisa o agente; quem garante é o sistema que executa, conferindo o recibo antes de agir. A chave dele só cria mandato a agente e ato delegado, pelo escopo restrito a um tipo de ato da 0.31.0.

labs.hummand.com.br no ar desde 2026-09-06, em dois idiomas, com seis notas publicadas: as três sobre o formato e sobre agentes, o manifesto do TheAlert e, desde 2026-09-23, as duas notas de pesquisa com medição: sinal comportamental contra replay competente e o custo de um cofre biométrico homomórfico hoje. Desde 2026-10-19, a especificação pública dos formatos, com vetores de teste, em labs.hummand.com.br/especificacao; versão 1.3, de 2026-10-20, publicada em 2026-10-24.

Infraestrutura como código com estado real, telemetria distribuída com alertas, segredos fora do host, limite de requisições distribuído e backups com restauração ensaiada em produção. Inventário de dependências por CI e threat model da produção escritos.

Cabeçalhos de segurança de navegador em todos os hosts, com transporte estrito, subdomínios incluídos e pedido de pré-carga nos navegadores desde 2026-09-26. Proteção da branch principal por regra da organização: nada entra em produção sem revisão, em nenhum repositório.

Fluxo validado em produção: a jornada percorrida no celular, com recibo assinado e verificado pelos três caminhos que existem (o verificador de linha de comando, o SDK e a página em labs).

Registro de cada acesso às páginas e à API, guardado por 190 dias, acima dos seis meses que o Marco Civil exige de quem provê aplicações, em armazenamento separado e restrito. Páginas desde 2026-09-25, 01:40 UTC; API desde a 0.18.0 do gateway, no mesmo dia. A porta lógica de origem entra no registro das páginas desde 2026-09-26 e no da API desde a 0.20.0. O que entra e o que fica de fora está em Segurança.

Identidade civil contra a base governamental. Protocolo de credenciamento em andamento no Serpro desde 2026-08-20, no prazo deles. Quando chegar, troca só o adapter; a etapa, o recibo e o nível 3 já existem.

Situação cadastral e óbito, no mesmo contrato. Serve à identidade e ao gatilho de prova de exceção.

Uma vez por dia, os recibos de cada cliente entram numa árvore cuja raiz recebe um carimbo do tempo de uma Autoridade de Carimbo do Tempo da ICP-Brasil, um terceiro que não é a Hummand. O dossiê leva a prova do recibo do ato, que quem o recebe confere só com aquele recibo. No código desde a 0.30.0, de 2026-10-20, no ar desde 2026-10-24 e desligado até o contrato com a autoridade: nenhuma prova foi emitida ainda.

Os textos são versionados por camada: geral v1-2026-08, biométrico v1-2026-06 e escopo do mandato v1-2026-09. Registro de tratamento e relatório de impacto preenchidos pelo encarregado em 2026-09-21; os textos aguardam a revisão jurídica.

Doze tipos com default e política no motor; cinco disponíveis (presença recorrente, mandato a agente, mandato de pessoa, ato delegado e step-up de operador). Dos sete restantes, faltam as etapas de identidade civil (em credenciamento), conta federada e assinatura jurídica. O mandato de pessoa está disponível em nível 2 desde a 0.28.0 e sobe ao nível 3 quando a identidade civil estiver credenciada.

gov.br, atestação de dispositivo, ICP-Brasil, OCR de documento, CRC e SISOBI: adapter e mock com contrato real; nenhuma entra antes de um cliente que a puxe.

mTLS do cliente, por camadas: a origem só aceita a borda desde 2026-09-24, o vínculo entre certificado e contrato está no código desde a 0.17.0, desligado até a borda autenticar a origem com certificado próprio. O mTLS entre serviços internos fica para depois. O resto desta frente já está em produção e mudou de lugar nesta página: os níveis de acesso dentro do cliente entraram em 2026-09-14 e saíram desta lista.

O herói do site em que o visitante faz um ato no próprio celular e vê o recibo. O primeiro ato real já aconteceu e saiu desta lista.