01 - STAKEHOLDER (quem valida e esclarece):

@MARCOS STUMPF @Robson Thanael Poffo

02 - PROBLEMA (cenário e/ou dor):

Para atender aos requisitos de segurança identificados em testes de intrusão (PENTEST) e fortalecer a proteção contra ataques de falsificação de solicitação entre sites, a API da Carol passou a suportar a configuração do atributo SameSite nos cookies.

Atualmente, a interface de gerenciamento de Tenants não permite que o administrador visualize ou configure essa opção, gerando uma desconexão entre as capacidades da API e a sua interface.

03 - OBJETIVO (solução proposta):

Disponibilizar o novo campo parametrizável “Samesite” nas telas de criação e edição de tenants.

A solução deve permitir o ajuste do nível de restrição dos cookies de sessão, garantindo que usuários administradores possam elevar o nível de segurança ou manter a compatibilidade com integrações externas conforme a necessidade.

04 - QUEM PODE USAR (perfis de usuários):

• Org Admin e Tenant Admin

• Carol Admin

05 - ASSETS (links e arquivos relevantes):

Global admin samesite: [https://www.figma.com/design/FiL1iRG6RPjuNCgVzgGqvaZ3/%F0%9F%9F%A3-Carol-3.0?node-id=39715-45815&t=8bP7hHPCkd1daSLe-4|https://www.figma.com/design/FiL1iRG6RPjuNCgVzgGqvaZ3/%F0%9F%9F%A3-Carol-3.0?node-id=39715-45815&t=8bP7hHPCkd1daSLe-4|smart-link ]

Org Admin samesite: [https://www.figma.com/design/FiL1iRG6RPjuNCgVzgGqvaZ3/%F0%9F%9F%A3-Carol-3.0?node-id=39715-50237&t=8bP7hHPCkd1daSLe-4|https://www.figma.com/design/FiL1iRG6RPjuNCgVzgGqvaZ3/%F0%9F%9F%A3-Carol-3.0?node-id=39715-50237&t=8bP7hHPCkd1daSLe-4|smart-link ]

Tenant admin samesite: [https://www.figma.com/design/FiL1iRG6RPjuNCgVzgGqvaZ3/%F0%9F%9F%A3-Carol-3.0?node-id=39728-51156&t=8bP7hHPCkd1daSLe-4|https://www.figma.com/design/FiL1iRG6RPjuNCgVzgGqvaZ3/%F0%9F%9F%A3-Carol-3.0?node-id=39728-51156&t=8bP7hHPCkd1daSLe-4|smart-link ]

06 - CRITÉRIOS DE ACEITE:

• role ORG ADMIN / TENANT ADMIN

  • O novo campo “Samesite Cookies” será visível apenas em modo leitura, ou seja, não permite mudanças tanto ao criar como ao editar tenants.

    • Apresentar a mesma mensagem ao usuário da role CAROL ADMIN conforme o valor que estiver no campo.

• role CAROL ADMIN

  • O novo campo “Samesite Cookies” será visível e parametrizável ao criar ou editar tenants no ambiente de administração global.

  • O valores possíveis para este campo são: None, Lax e Strict.

    • Apresentar dica de ajuda, para orientar o usuário quanto ao uso recomendado por cada escolha.

    • None, sem restrição

      • Mensagem ao usuário: “Recommended for external integrations where Carol is embedded within other portals. Requires an active secure connection to ensure data delivery.”

    • Lax, deve vir pré-selecionado por padrão.

      • Mensagem ao usuário: “Recommended configuration for daily use. Allows your session to be maintained when accessing Carol through external links (such as emails or internal portals), ensuring speed without compromising security."

    • Strict, Nível máximo de restrição.

      • Mensagem ao usuário: “This configuration increases security, but may prevent external integrations (such as embedded dashboards or support tools) from functioning properly. Additionally, external links that direct to Carol will require you to log in again, even if you already have an active session.”