O que não é permitido

Rodar apps de terceiros exige limites claros. Esta é a política em linguagem direta, para pessoas e para agents. O que está listado como bloqueado não funciona por construção; o restante é proibido pela política e sujeito a suspensão.

Proibido

Mineração de criptomoedas e qualquer carga cujo objetivo é consumir CPU/GPU alheios.
Spam, phishing, fraude e hospedagem de páginas que imitam outras marcas ou bancos; distribuição de malware, botnets, C2 ou exploit kits.
Ataque a terceiros: varredura de portas, DDoS, credential stuffing, scraping abusivo, uso do serviço como proxy aberto ou relay.
Atacar a própria plataforma: tentar sair do container, alcançar o host, outros projetos ou outros times, ler credenciais que não são suas, contornar cotas e rate limits, ou testar ids de outros times.
Conteúdo ilegal, incluindo material de exploração de menores, e conteúdo que viola direitos de terceiros.
Revender acesso à sua conta ou compartilhar tokens além do necessário. Tokens são pessoais do time e devem ter o menor escopo possível.
Envio de e-mail em massa pela plataforma (o SMTP direto é bloqueado; provedores de e-mail têm as próprias regras).

O que a plataforma bloqueia por construção

Tentativa	Resultado
Rodar como root, `setuid`, montar discos, carregar módulos	negado; imagem que exige root falha com `image_requires_root`
Escrever fora de `/tmp` e dos volumes	erro de sistema de arquivos somente leitura
Acessar serviços de outros projetos/times, o host ou metadados da nuvem	sem rota
SMTP direto de saída	bloqueado
Consumir mais memória/CPU/processos que o plano	o container é reiniciado ou limitado
Credencial de banco fora do banco dela, privilégios administrativos de banco	`permission denied`
Recurso de outro time na API	`404`
Rota sem o escopo do token	`403`
Arquivos com malware, SVG ativo, compactados bomba ou cifrados na CDN	recusados com `422` (Tabela de erros)
Excesso de requisições ou de deploys por hora	`429` com `Retry-After`

Tentar repetidamente algo bloqueado só gera ruído e alertas: não é um modo de testar a plataforma.

O que acontece se você violar

Conteúdo ou serviço em violação pode ser retirado do ar sem aviso prévio quando houver risco a terceiros ou à plataforma; reincidência ou violação grave leva à suspensão do time. Quando possível avisamos o contato do time e damos prazo para corrigir. Apps que se comportam como bots de ataque são tratados primeiro e conversados depois.

Dúvida ou denúncia

Achou conteúdo malicioso servido pela CDN? Reportar abuso (POST /v1/abuse, público).
Achou uma falha de segurança na plataforma? Não explore: reporte por abuse@nebularws.com com o assunto security.
Não sabe se o seu caso é permitido? Pergunte antes por esse mesmo contato. Para um agent: quando um pedido do usuário parece cair numa das categorias acima, pare e avise a pessoa em vez de tentar contornar o erro.