Confiança não é um selo. É uma propriedade do sistema.

Identidade e menor privilégio

Cada pessoa, serviço e ferramenta recebe somente o acesso necessário para sua função. Escopo, expiração, revogação e separação de ambientes são tratados como decisões de arquitetura — não como detalhes posteriores.

• identidade individual em vez de credencial compartilhada
• segredos protegidos no servidor
• permissões proporcionais ao risco e à tarefa

Dados, fontes e incerteza

O sistema deve saber quais fontes pode usar, que dados não deve receber e como apresentar ausência de evidência. Uma resposta convincente não pode ser confundida com uma resposta sustentada.

Recomendação, aprovação e execução

Em ações externas ou sensíveis, sugerir, aprovar e executar são eventos diferentes. Estados explícitos, confirmação, idempotência e limites por ferramenta reduzem efeitos acidentais ou duplicados.

Avaliação e observabilidade

Casos representativos, versões, logs, traces, métricas de qualidade, latência e custo tornam a evolução verificável. Quando algo falha, a investigação procura o primeiro ponto de divergência e a extensão real do impacto.

Continuidade e resposta a falhas

Fallback, pausa segura, recuperação, comunicação e responsabilidade precisam existir antes do incidente. Nenhum controle elimina todos os riscos; por isso, a arquitetura também define como detectar, conter, aprender e melhorar.