# O que não é permitido

Rodar apps de terceiros exige limites claros. Esta é a política em linguagem direta, para pessoas e para agents. O que está listado como **bloqueado** não funciona por construção; o restante é proibido pela política e sujeito a suspensão.

## Proibido

- **Mineração de criptomoedas** e qualquer carga cujo objetivo é consumir CPU/GPU alheios.
- **Spam, phishing, fraude** e hospedagem de páginas que imitam outras marcas ou bancos; distribuição de **malware**, *botnets*, C2 ou *exploit kits*.
- **Ataque a terceiros**: varredura de portas, DDoS, *credential stuffing*, *scraping* abusivo, uso do serviço como proxy aberto ou *relay*.
- **Atacar a própria plataforma**: tentar sair do container, alcançar o host, outros projetos ou outros times, ler credenciais que não são suas, contornar cotas e *rate limits*, ou testar ids de outros times.
- **Conteúdo ilegal**, incluindo material de exploração de menores, e conteúdo que viola direitos de terceiros.
- **Revender acesso** à sua conta ou compartilhar tokens além do necessário. Tokens são pessoais do time e devem ter o menor escopo possível.
- **Envio de e-mail em massa** pela plataforma (o SMTP direto é bloqueado; provedores de e-mail têm as próprias regras).

## O que a plataforma bloqueia por construção

| Tentativa | Resultado |
|---|---|
| Rodar como root, `setuid`, montar discos, carregar módulos | negado; imagem que exige root falha com `image_requires_root` |
| Escrever fora de `/tmp` e dos volumes | erro de sistema de arquivos somente leitura |
| Acessar serviços de outros projetos/times, o host ou metadados da nuvem | sem rota |
| SMTP direto de saída | bloqueado |
| Consumir mais memória/CPU/processos que o plano | o container é reiniciado ou limitado |
| Credencial de banco fora do banco dela, privilégios administrativos de banco | `permission denied` |
| Recurso de outro time na API | `404` |
| Rota sem o escopo do token | `403` |
| Arquivos com malware, SVG ativo, compactados bomba ou cifrados na CDN | recusados com `422` ([Tabela de erros](/erros/tabela/)) |
| Excesso de requisições ou de deploys por hora | `429` com `Retry-After` |

Tentar repetidamente algo bloqueado só gera ruído e alertas: **não é um modo de testar a plataforma**.

## O que acontece se você violar

Conteúdo ou serviço em violação pode ser **retirado do ar sem aviso prévio** quando houver risco a terceiros ou à plataforma; reincidência ou violação grave leva à **suspensão do time**. Quando possível avisamos o contato do time e damos prazo para corrigir. Apps que se comportam como bots de ataque são tratados primeiro e conversados depois.

## Dúvida ou denúncia

- Achou conteúdo malicioso servido pela CDN? [Reportar abuso](/seguranca/reportar-abuso/) (`POST /v1/abuse`, público).
- Achou uma falha de segurança na plataforma? Não explore: reporte por `abuse@nebularws.com` com o assunto `security`.
- Não sabe se o seu caso é permitido? Pergunte antes por esse mesmo contato. Para um agent: quando um pedido do usuário parece cair numa das categorias acima, **pare e avise a pessoa** em vez de tentar contornar o erro.