Janela prevista das fontes oficiais: avisar o cliente sem entregar o mapa

Toda verificação de identidade no Brasil depende, em algum ponto, de uma fonte oficial: a situação cadastral de um CPF, os dados de um CNPJ, uma certidão. Essas fontes param. Às vezes param sem aviso, e aí o assunto é incidente. Muitas vezes param com aviso, numa manutenção programada, e aí o assunto é outro: o cliente da plataforma precisa saber a tempo de planejar a própria operação.

A tentação, ao publicar o aviso, é explicar demais: dizer o que o sistema faz durante a parada, qual consulta deixa de ser feita, qual checagem passa a valer no lugar de qual. Parece transparência. Na prática, é entregar a quem ataca o horário exato em que uma defesa fica mais fraca e o desenho do que fica no lugar dela.

Este artigo trata de como avisar bem sem entregar o mapa.

A fonte oficial avisa, e o aviso é o ponto de partida

Um exemplo recente mostra como o aviso chega. Em 7 de julho de 2026, às 16h01, a Receita Federal publicou em seu canal de notícias o comunicado Parada programada para implantação do CNPJ Alfanumérico. O texto informava que, no dia 25 de julho, das 7h às 19h, o ambiente do CNPJ ficaria totalmente indisponível, sem consultas nem demais operações que dependessem dele.

Esse comunicado tem tudo o que um aviso bom precisa: data, horário de início e de fim, o que fica indisponível e onde ler mais. E chegou com dezoito dias de antecedência. É esse o material que uma plataforma deve levar ao cliente, sem tirar nem pôr.

O que publicar

Um aviso de janela prevista útil para quem integra responde a quatro perguntas:

• Quando começa e quando termina, com o fuso horário escrito.
• Qual capacidade do produto é afetada, na linguagem de quem usa o produto: consulta cadastral de CNPJ, por exemplo, e não o nome de um sistema interno.
• Qual é a fonte do aviso, com o link para o comunicado oficial. Assim, quem lê pode conferir na origem e não depende da interpretação de ninguém.
• O que o cliente deve esperar em termos de contrato: por exemplo, que as consultas daquela fonte podem voltar como pendentes durante a janela, exatamente como a documentação já descreve para fonte fora do ar.

Com isso, o cliente consegue avisar o próprio time de atendimento, adiar um lote de cadastros ou simplesmente saber por que um resultado veio pendente naquela manhã. O artigo sobre ler o SLA de um fornecedor mostra por que janela de manutenção é uma das primeiras coisas a conferir num contrato.

O que nunca publicar

O que não entra no aviso é tudo o que descreve como o sistema reage por dentro:

• Qual checagem deixa de valer durante a janela, ou qual sinal passa a pesar menos.
• Qual caminho alternativo entra no lugar da fonte parada, e o que ele deixa de ver.
• Qualquer diferença observável entre o comportamento normal e o comportamento durante a parada, além do que o contrato público já promete.

A Common Weakness Enumeration, mantida pela MITRE, descreve na entrada CWE-200 a exposição de informação sensível a quem não está autorizado a tê-la, e inclui explicitamente entre os tipos de informação sensível o estado do sistema, o estado interno do produto e a informação indireta, como uma discrepância entre duas operações internas que alguém de fora consegue observar. Um aviso que explica o modo degradado de uma defesa é exatamente esse tipo de exposição, só que publicado de propósito.

A regra prática é separar o que é do cliente do que é da defesa. A janela, a capacidade afetada e o comportamento contratual são do cliente. O desenho do que muda por dentro é da defesa, e fica no documento interno, onde a equipe de segurança precisa dele.

A janela tem de sair do ar sozinha

Um aviso de manutenção que continua na página depois que a manutenção acabou é pior que aviso nenhum. Quem abre a página de status no dia seguinte lê que a fonte está em manutenção, desconfia de tudo o que a página diz e para de confiar nela justamente quando ela precisar ser lida.

Por isso, a janela prevista precisa de fim declarado, e a página precisa tirá-la do ar sozinha quando esse fim passar, sem depender de alguém lembrar de apagar. Se o órgão não informou o fim, a plataforma deve adotar um teto conservador e dizer isso, em vez de manter o aviso aberto indefinidamente.

O mesmo cuidado vale no sentido contrário: a janela aparece antes de começar, não só durante. O valor do aviso está no tempo que ele dá para o cliente se organizar.

Um roteiro para quem publica

1. Acompanhe o canal oficial de cada fonte de que o produto depende. É lá que o comunicado sai primeiro.
2. Ao ver um comunicado, publique a janela com início, fim, fuso, capacidade afetada e o link oficial.
3. Revise o texto com uma pergunta só: alguém de fora aprende com isto como a nossa defesa muda? Se a resposta for sim, corte.
4. Confira que a janela tem fim e que a página a retira sozinha.
5. Depois da janela, compare o que aconteceu com o que foi avisado e ajuste o processo, não o aviso antigo.

O artigo sobre a página de segurança do fornecedor mostra o que mais vale conferir nessa vitrine.

Perguntas frequentes

E se a fonte parar sem aviso?

Aí não é janela prevista, é incidente, e o tratamento é outro. A página de status registra a indisponibilidade quando ela é observada, e o comunicado ao cliente descreve o que ele vê, sem prometer horário de volta que ninguém confirmou. Misturar os dois tipos de aviso ensina o cliente a ignorar ambos.

Vale publicar a janela de uma fonte que o cliente nem usa?

Vale publicar por capacidade, e não por fonte. O cliente que não usa consulta de CNPJ lê a capacidade afetada e sabe na hora que o aviso não é com ele. Publicar o nome da fonte sem dizer a capacidade obriga cada cliente a mapear sozinho a própria dependência.

Quem pode publicar a janela?

Só quem opera a plataforma, com o comunicado oficial em mãos. Uma janela publicada sem fonte é um boato com carimbo de oficial.

Fontes citadas

• Receita Federal do Brasil. Comunicado: Parada programada para implantação do CNPJ Alfanumérico, publicado em 7 de julho de 2026.
• MITRE. Common Weakness Enumeration, CWE-200: Exposure of Sensitive Information to an Unauthorized Actor.