Vulnerabilidades não mapeadas: shadow IT e APIs esquecidas

TL;DR — Leia em 60 segundos

• 87% das empresas brasileiras operam com ativos expostos que não sabem que existem, ampliando a superfície de ataque invisível e o risco de incidentes críticos.
• Vulnerabilidades técnicas não mapeadas surgem de shadow IT, ativos esquecidos na nuvem, APIs desprotegidas, credenciais expostas e integrações mal documentadas.
• O Framework 304 propõe 3 camadas de descoberta contínua, 0 ativos desconhecidos como meta operacional e 4 ciclos permanentes de validação técnica.
• Empresas que implementam mapeamento contínuo reduzem em até 60% o tempo médio de detecção e em até 45% o impacto financeiro de incidentes.
• O diagnóstico gratuito da Decripte no Intelligence Center identifica exposição externa em menos de 5 minutos, sem custo e sem compromisso.

O que é Vulnerabilidades Técnicas Não Mapeadas e por que é crítico em 2026

Vulnerabilidades técnicas não mapeadas são falhas, exposições ou ativos digitais que existem dentro do ambiente tecnológico de uma organização, mas que não estão formalmente inventariados, monitorados ou protegidos. Elas não aparecem nos relatórios tradicionais de segurança porque simplesmente não estão registradas. Podem ser servidores criados para testes e esquecidos, APIs publicadas sem autenticação robusta, subdomínios antigos ainda resolvendo DNS, buckets de armazenamento em nuvem com permissões públicas ou até integrações com fornecedores que nunca passaram por uma validação de segurança estruturada. Em 2026, esse fenômeno deixou de ser exceção e tornou-se padrão.

O crescimento acelerado da computação em nuvem, da transformação digital e da adoção de SaaS criou um cenário onde departamentos contratam soluções sem envolvimento direto da área de TI. Esse movimento, conhecido como shadow IT, ampliou drasticamente a superfície de ataque das empresas brasileiras. Segundo relatórios internacionais de segurança, mais de 60% das organizações descobrem ativos externos desconhecidos durante avaliações independentes de exposição digital. No Brasil, onde a maturidade média em governança de TI ainda é desigual entre setores, o número tende a ser ainda maior.

O problema não é apenas a existência dessas vulnerabilidades, mas a invisibilidade operacional. Sistemas de monitoramento tradicionais, como antivírus corporativos e firewalls, protegem o que já está catalogado. O que está fora do inventário simplesmente não recebe atenção. Essa lacuna cria uma falsa sensação de segurança. A empresa acredita que está protegida porque seus dashboards estão verdes, mas na realidade há portas abertas que nunca foram verificadas.

Em 2026, a criticidade aumenta devido à automação do crime digital. Ferramentas de varredura automatizada, combinadas com inteligência artificial, permitem que grupos criminosos mapeiem a internet em larga escala procurando exatamente por esses ativos esquecidos. Ataques não começam mais com phishing isolado; começam com reconhecimento massivo de superfície de ataque. Se sua organização não sabe o que está exposto, alguém externo certamente descobrirá antes.

Outro fator determinante é a pressão regulatória. A LGPD no Brasil impõe responsabilidade objetiva sobre o controlador de dados pessoais. Isso significa que não importa se a vulnerabilidade estava “fora do radar”. Se houver vazamento decorrente de um ativo não mapeado, a responsabilidade recai sobre a organização. Autoridades regulatórias não aceitam como justificativa a falta de inventário.

Portanto, vulnerabilidades técnicas não mapeadas representam um risco sistêmico, estratégico e reputacional. Não se trata apenas de uma falha técnica, mas de uma falha de governança. E governança, em 2026, é diferencial competitivo.

Como funciona na prática: Anatomia completa

Na prática, vulnerabilidades não mapeadas surgem da combinação de crescimento desordenado, falta de processos formais de inventário e ausência de validação contínua. A anatomia desse problema começa na criação de ativos. Um desenvolvedor cria um ambiente de homologação na nuvem para acelerar uma entrega. O projeto termina, mas o ambiente permanece ativo. Esse ativo não entra no inventário oficial, não recebe patching regular e pode manter credenciais padrão.

O segundo elemento da anatomia é a fragmentação de responsabilidade. Equipes de marketing contratam plataformas externas, times de produto utilizam APIs de terceiros e áreas administrativas adotam ferramentas SaaS com cartões corporativos. Cada contratação adiciona novas integrações, novos fluxos de dados e novas possíveis exposições. Sem centralização, não há visão consolidada.

O terceiro elemento é a falsa confiança em controles perimetrais. Muitas organizações ainda operam com mentalidade de perímetro fechado, enquanto seus dados já estão distribuídos entre múltiplas nuvens e aplicações externas. O perímetro deixou de existir. O que existe é uma superfície dinâmica e mutável.

Superfície de ataque invisível

A superfície de ataque invisível inclui todos os pontos de entrada que não são monitorados formalmente. Isso pode envolver subdomínios antigos ainda configurados no DNS público, ambientes de staging acessíveis via internet, repositórios de código com tokens expostos ou bancos de dados mal configurados. Cada um desses elementos é potencialmente explorável por ferramentas automatizadas.

No Brasil, já observamos casos em que pequenas fintechs tiveram APIs internas indexadas por mecanismos de busca porque ambientes de teste não estavam protegidos por autenticação adequada. O impacto vai desde vazamento de dados até manipulação de transações. A invisibilidade é o principal fator de risco, pois impede resposta proativa.

Ciclo de descoberta externa

A maioria dos ataques começa com reconhecimento externo. Atacantes utilizam scanners automatizados para identificar portas abertas, versões de software desatualizadas e endpoints expostos. Se a organização não realiza o mesmo tipo de varredura em si mesma, estará sempre reagindo em vez de antecipar.

Ferramentas de Attack Surface Management se tornaram essenciais justamente por replicarem a visão do atacante. Elas analisam domínios, certificados digitais, registros DNS, IPs associados e relacionamentos com provedores de nuvem. Esse ciclo deve ser contínuo, não pontual.

Integração com governança corporativa

Não basta descobrir ativos. É necessário integrá-los ao processo formal de governança. Cada ativo identificado deve ter um responsável, um nível de criticidade e um plano de remediação. Sem esse vínculo com governança, o mapeamento vira apenas relatório técnico sem impacto estratégico.

Empresas maduras transformam descobertas técnicas em indicadores executivos. Número de ativos desconhecidos, tempo médio para regularização e percentual de ativos com classificação de risco são métricas que devem chegar ao board.

Passo a passo: Implementação profissional

Fase 1: Diagnóstico e mapeamento

A primeira fase envolve descoberta ampla e estruturada. Isso inclui varredura externa de domínios, identificação de ativos em nuvem associados ao CNPJ da empresa e análise de certificados digitais emitidos. Ferramentas especializadas cruzam dados públicos com inteligência de ameaças para identificar exposições.

Paralelamente, deve-se conduzir entrevistas internas com líderes de áreas para mapear ferramentas contratadas fora da TI. Essa etapa cultural é fundamental, pois muitos ativos só serão revelados mediante diálogo estruturado. O objetivo é criar uma fotografia realista do ecossistema digital.

Após a coleta, os ativos precisam ser classificados por criticidade. Sistemas que processam dados pessoais ou financeiros recebem prioridade máxima. Ambientes de teste com dados anonimizados podem ter criticidade menor, mas ainda precisam de controle.

Fase 2: Planejamento e arquitetura

Com o inventário consolidado, a organização define arquitetura de proteção. Isso inclui segmentação de rede, implementação de autenticação multifator, revisão de políticas de acesso e definição de padrões mínimos de configuração segura.

É essencial estabelecer um modelo de responsabilidade clara. Cada ativo deve ter um owner formal. Sem essa definição, vulnerabilidades tendem a permanecer abertas porque ninguém se sente responsável direto.

Nessa fase também se define a integração com SOC e processos de resposta a incidentes. Descobrir vulnerabilidades é apenas parte do ciclo; reagir rapidamente é igualmente crucial.

Fase 3: Implementação e testes

A implementação envolve correção de configurações inseguras, aplicação de patches, remoção de ativos obsoletos e reforço de controles de acesso. Ambientes desnecessários devem ser desativados. APIs devem receber autenticação robusta e monitoramento.

Após as correções, testes de invasão são fundamentais para validar eficácia. Pentests simulam comportamento de atacantes reais e identificam brechas que ferramentas automatizadas podem não capturar.

A documentação é parte da implementação. Cada ação corretiva precisa ser registrada para fins de compliance e auditoria.

Fase 4: Monitoramento contínuo

A quarta fase transforma o projeto em processo permanente. Monitoramento contínuo de superfície de ataque deve ocorrer 24x7, especialmente para empresas com alta exposição digital.

Indicadores de desempenho devem ser acompanhados mensalmente. Número de novos ativos detectados, tempo médio de remediação e percentual de conformidade são métricas críticas.

Treinamentos periódicos reforçam cultura de registro formal de novos sistemas. Segurança não pode depender apenas de tecnologia; precisa estar integrada ao comportamento organizacional.

Erros críticos e como evitá-los

Um erro comum é acreditar que inventário anual é suficiente. Em ambientes dinâmicos, ativos surgem semanalmente. Inventário deve ser contínuo.

Outro erro é confiar exclusivamente em fornecedores de nuvem para segurança. A responsabilidade é compartilhada, mas a configuração correta é obrigação da empresa.

Ignorar shadow IT é falha recorrente. Departamentos precisam ser envolvidos no processo de governança.

Subestimar APIs internas é outro problema crítico. Muitas violações recentes exploraram APIs mal protegidas.

Não definir responsáveis formais leva à estagnação de correções.

Falhar na priorização de risco dilui esforços.

Não integrar descoberta com resposta a incidentes gera atrasos críticos.

Tratar segurança como projeto pontual, e não processo contínuo, perpetua vulnerabilidades invisíveis.

Ferramentas e tecnologias essenciais

Cada ferramenta possui papel específico. Shodan e Censys permitem visão externa semelhante à de atacantes. Tenable e Qualys fornecem análise estruturada de vulnerabilidades. Defender for Cloud ajuda na postura de segurança em ambientes Azure e multicloud. Burp Suite é essencial para testes aprofundados em aplicações web.

Checklist completo de implementação

Prioridade alta envolve mapear todos os domínios registrados, identificar ativos em nuvem vinculados ao CNPJ, revisar permissões de storage, implementar autenticação multifator, aplicar patches críticos, remover ambientes obsoletos, definir responsáveis por ativos, integrar logs ao SIEM, revisar políticas de acesso e validar backups.

Prioridade média inclui revisar integrações com terceiros, classificar dados armazenados, aplicar segmentação de rede, revisar certificados digitais, testar planos de resposta e atualizar documentação.

Prioridade contínua envolve monitoramento 24x7, testes periódicos de invasão, auditorias internas semestrais, treinamento de colaboradores e revisão anual de arquitetura.

Casos reais e estudos de caso

Um banco digital brasileiro identificou mais de 120 subdomínios esquecidos após varredura externa. Dois estavam vulneráveis a execução remota devido a software desatualizado. A correção preventiva evitou potencial vazamento de dados financeiros.

Uma indústria do setor de saúde descobriu bucket de armazenamento com exames médicos acessíveis publicamente. O ativo havia sido criado para projeto piloto. A descoberta evitou violação massiva de dados sensíveis.

Uma empresa de e-commerce identificou API de integração com transportadora sem autenticação robusta. O risco envolvia manipulação de status de pedidos. Após implementação de tokens seguros e monitoramento, a exposição foi eliminada.

Como a Decripte Resolve Vulnerabilidades Técnicas Não Mapeadas: Serviços e Diferenciais

A Decripte atua com abordagem integrada que combina SOC 24x7, inteligência de ameaças e gestão contínua de superfície de ataque. Nosso modelo identifica ativos externos associados à sua marca, monitora exposições em tempo real e aciona protocolos de resposta imediata quando riscos são detectados.

Nosso serviço de Resposta a Incidentes atua na contenção rápida, reduzindo impacto financeiro e reputacional. O time de Pentest valida tecnicamente a eficácia das defesas implementadas, simulando cenários reais de ataque.

Em compliance e LGPD, auxiliamos empresas a estruturar governança robusta, garantindo rastreabilidade de ativos e aderência regulatória. Conheça mais no https://decripte.com.br/intelligence-center e explore também nossos conteúdos técnicos em /artigos.

Mini tutorial em 3 passos:

1. Acesse /intelligence-center e realize o diagnóstico gratuito.
2. Participe de uma reunião de alinhamento técnico com nossos especialistas.
3. Ative o serviço adequado conforme sua necessidade, disponível em /planos.

Perguntas frequentes (FAQ)

1. O que são vulnerabilidades técnicas não mapeadas?

São falhas ou ativos que não estão registrados formalmente no inventário de TI, mas permanecem ativos e potencialmente exploráveis.

2. Por que 87% das empresas não sabem onde estão suas vulnerabilidades?

Porque dependem de inventários estáticos e não realizam monitoramento contínuo de superfície de ataque.

3. Como identificar ativos esquecidos na nuvem?

Por meio de ferramentas de descoberta externa, auditorias internas e cruzamento de registros DNS e certificados digitais.

4. Qual a relação com LGPD?

A LGPD responsabiliza a empresa por vazamentos, mesmo que decorrentes de ativos não mapeados.

5. Shadow IT é sempre um problema?

Não necessariamente, mas sem governança adequada torna-se vetor crítico de risco.

6. Pentest resolve o problema?

Ajuda a identificar falhas, mas precisa estar integrado a processo contínuo.

7. Quanto custa implementar monitoramento contínuo?

Varia conforme porte e complexidade, mas o custo é inferior ao impacto de um incidente grave.

8. Pequenas empresas também precisam?

Sim, pois são frequentemente alvo por menor maturidade de segurança.

9. Como priorizar correções?

Baseando-se em criticidade de dados e potencial de impacto.

10. Qual o papel do SOC?

Monitorar continuamente e responder rapidamente a incidentes.

11. Ferramentas automatizadas são suficientes?

Não. É necessário análise humana especializada.

12. Como começar imediatamente?

Realizando diagnóstico gratuito no Intelligence Center da Decripte.

Comece agora — diagnóstico gratuito em 5 minutos

A superfície de ataque da sua empresa pode estar maior do que você imagina. Ativos esquecidos, integrações não documentadas e serviços expostos criam risco silencioso. O primeiro passo é obter visibilidade real.

Acesse agora https://decripte.com.br/intelligence-center e descubra gratuitamente quais ativos externos estão associados à sua organização. Em menos de cinco minutos você terá um panorama inicial de exposição digital.

Se preferir avançar para proteção estruturada, conheça nossos /planos de segurança e fortaleça sua governança digital antes que vulnerabilidades invisíveis se tornem incidentes públicos. Segurança não é custo, é estratégia de continuidade.

Análise Técnica Aprofundada: Vetores e Táticas MITRE ATT&CK

A superfície de ataque invisível normalmente se materializa através de TTPs já amplamente documentadas no framework MITRE ATT&CK, mas subestimadas no contexto de ativos não mapeados. Entre as técnicas mais recorrentes está a T1595 (Active Scanning), utilizada por adversários para identificar serviços expostos inadvertidamente — especialmente APIs shadow, ambientes de staging e instâncias de nuvem órfãs. Quando a organização não mantém inventário contínuo, a fase de reconhecimento do atacante se torna trivial, reduzindo o tempo entre descoberta e exploração.

Outra técnica crítica é a T1190 (Exploit Public-Facing Application). Vulnerabilidades em aplicações web esquecidas, como versões antigas de CMS, painéis administrativos ou serviços expostos via containers mal configurados, frequentemente permitem execução remota de código (RCE). Em ambientes híbridos, a exploração inicial pode evoluir rapidamente para T1059 (Command and Scripting Interpreter), onde PowerShell, Bash ou Python são utilizados para movimentação lateral e persistência.

A técnica T1078 (Valid Accounts) é particularmente relevante quando credenciais associadas a sistemas legados permanecem ativas. Contas de serviço antigas, chaves de API não rotacionadas e identidades federadas mal gerenciadas permitem que atacantes operem com baixo ruído. Combinada com T1021 (Remote Services), como RDP ou SSH expostos, a exploração torna-se praticamente indistinguível de atividade legítima se não houver telemetria avançada.

Em ambientes cloud, destaca-se a T1552 (Unsecured Credentials), incluindo chaves armazenadas em repositórios públicos ou variáveis de ambiente expostas. Uma vez comprometidas, técnicas como T1087 (Account Discovery) e T1069 (Permission Groups Discovery) permitem escalonamento de privilégios até atingir permissões administrativas, muitas vezes explorando configurações excessivas (overprivileged IAM roles).

Por fim, a fase de impacto frequentemente envolve T1486 (Data Encrypted for Impact) em ataques de ransomware ou T1041 (Exfiltration Over C2 Channel) para vazamento silencioso de dados sensíveis. Em ambos os casos, a origem está quase sempre ligada a um ativo invisível no inventário corporativo — um servidor esquecido, um bucket mal configurado ou um endpoint não monitorado.

Indicadores de Comprometimento e Detecção

A identificação de IOCs associados à superfície invisível exige correlação entre camadas. Indicadores comuns incluem domínios recém-registrados acessando endpoints internos, variações anômalas de User-Agent em APIs pouco utilizadas e padrões de autenticação fora do baseline histórico. Logs de firewall e WAF frequentemente revelam scanning sequencial de portas ou exploração de endpoints não documentados.

Em nível de SIEM, regras eficazes incluem detecção de autenticações bem-sucedidas em sistemas classificados como “low usage” ou “legacy”. Consultas que correlacionam criação de novos processos (Event ID 4688) com conexões externas inesperadas são altamente eficazes. Alertas baseados em UEBA (User and Entity Behavior Analytics) devem priorizar identidades de serviço executando comandos administrativos fora da janela operacional padrão.

Regras YARA podem ser aplicadas para detectar web shells ou payloads comuns associados a exploração de aplicações públicas. Assinaturas que identifiquem padrões como cmd.exe /c, uso suspeito de Invoke-Expression, ou strings associadas a frameworks de pós-exploração (ex: Cobalt Strike beacons) são fundamentais para ambientes com servidores web expostos.

Adicionalmente, monitoramento de integridade (FIM) deve gerar alertas para alterações não autorizadas em diretórios críticos, especialmente em aplicações legadas. A combinação de IOCs tradicionais com análise comportamental reduz falsos positivos e aumenta a capacidade de detectar movimentação lateral originada de ativos previamente não catalogados.

Roadmap de Implementação em 12 Meses

Fase 1: Diagnóstico (Meses 1-3)

O primeiro trimestre deve concentrar-se na descoberta contínua de ativos. Isso inclui varredura externa automatizada, inventário de cloud via APIs nativas (AWS Config, Azure Resource Graph) e mapeamento de dependências de aplicações. O objetivo é identificar 100% dos ativos expostos externamente.

Paralelamente, deve-se conduzir um gap analysis comparando inventário oficial com ativos detectados. Métrica de sucesso: redução de pelo menos 60% na discrepância entre ativos conhecidos e descobertos até o final do terceiro mês.

Por fim, recomenda-se classificação de criticidade baseada em dados sensíveis processados e nível de exposição. A maturidade desta fase é medida pela criação de um CMDB dinâmico integrado ao pipeline de DevSecOps.

Fase 2: Fundação (Meses 4-6)

Nesta etapa, implementa-se monitoramento centralizado com integração completa ao SIEM. Todos os ativos identificados devem enviar logs padronizados. Meta: 95% de cobertura de telemetria.

Deve-se aplicar hardening padronizado e eliminar ativos redundantes ou obsoletos. Indicador-chave: redução mínima de 40% na superfície externa exposta (portas, serviços, domínios).

A formalização de políticas de gestão de vulnerabilidades com SLA baseado em criticidade (ex: CVSS ≥ 9 corrigido em até 7 dias) estabelece governança operacional mensurável.

Fase 3: Operação (Meses 7-9)

Com a fundação estabelecida, inicia-se threat hunting ativo focado em TTPs mapeadas. Equipes devem executar simulações baseadas em ATT&CK para validar cobertura defensiva.

KPIs incluem redução do MTTD (Mean Time to Detect) em pelo menos 30% e aumento da taxa de detecção proativa versus reativa. Testes de intrusão contínuos ajudam a validar eficácia.

A automação via SOAR deve ser expandida para conter ameaças automaticamente, reduzindo o MTTR (Mean Time to Respond) para menos de 4 horas em incidentes críticos.

Fase 4: Otimização (Meses 10-12)

Nesta fase, implementa-se validação contínua com BAS (Breach and Attack Simulation). Métrica principal: cobertura de 80% das técnicas ATT&CK relevantes ao setor.

Auditorias independentes devem confirmar aderência a frameworks como NIST CSF ou ISO 27001. O foco passa de correção reativa para melhoria preditiva baseada em inteligência de ameaças.

O ciclo anual encerra-se com relatório executivo demonstrando redução quantitativa da superfície invisível superior a 70% e melhoria comprovada nos indicadores de resiliência cibernética.

Perguntas Aprofundadas de Executivos Seniores

1. Qual é o impacto financeiro real de manter ativos não mapeados?

Ativos não mapeados representam risco financeiro exponencial porque combinam alta probabilidade de exploração com baixa capacidade de detecção. Estudos de mercado indicam que o custo médio de uma violação ultrapassa milhões de dólares, mas quando a origem está em um ativo desconhecido, o tempo de permanência do invasor (dwell time) tende a ser maior, ampliando danos regulatórios, operacionais e reputacionais. Além disso, multas associadas a LGPD e outras regulações podem atingir percentuais relevantes do faturamento anual. O impacto indireto inclui perda de confiança de clientes, aumento do prêmio de seguro cibernético e desvalorização de mercado. Investir na eliminação da superfície invisível reduz drasticamente a probabilidade de incidentes catastróficos e melhora previsibilidade orçamentária. Do ponto de vista financeiro, trata-se de converter risco imprevisível em investimento controlado com ROI mensurável por meio da redução de incidentes e da melhoria nos indicadores de resiliência.

2. Como justificar o investimento ao conselho?

A justificativa deve ser orientada a risco e não a tecnologia. Conselhos respondem a métricas objetivas: probabilidade de perda, impacto financeiro e responsabilidade fiduciária. Demonstrar que 87% das empresas não conhecem totalmente sua superfície de ataque posiciona o tema como risco estratégico, não técnico. Ao apresentar cenários quantitativos — por exemplo, modelagem FAIR — é possível traduzir vulnerabilidades invisíveis em exposição monetária anual estimada. Além disso, investidores e parceiros exigem maturidade comprovada em cibersegurança. Programas estruturados reduzem prêmio de seguro, fortalecem due diligence em fusões e aquisições e aumentam valuation. O investimento deve ser apresentado como mecanismo de proteção de EBITDA e continuidade operacional, não apenas como despesa de TI.

3. Qual é o risco regulatório associado?

Reguladores esperam diligência razoável na proteção de dados e infraestrutura crítica. A existência de ativos não mapeados pode ser interpretada como negligência organizacional, especialmente se resultar em vazamento de dados pessoais. Sob a LGPD, a ausência de controles adequados pode gerar sanções administrativas e publicidade negativa obrigatória. Em setores regulados, como financeiro e saúde, falhas podem levar a restrições operacionais. Demonstrar inventário contínuo, monitoramento ativo e resposta estruturada reduz significativamente exposição legal. A governança eficaz transforma segurança em evidência documental de conformidade, essencial em auditorias e investigações.

4. Como medir maturidade de forma objetiva?

Maturidade deve ser medida por indicadores quantitativos e não percepções subjetivas. Métricas como cobertura percentual de inventário, tempo médio de correção de vulnerabilidades críticas, MTTD e MTTR são fundamentais. Avaliações independentes baseadas em NIST CSF ou CIS Controls fornecem benchmark comparativo. Além disso, testes de intrusão recorrentes e simulações BAS oferecem evidência prática da eficácia defensiva. O objetivo é migrar de postura reativa para modelo preditivo, onde inteligência de ameaças orienta priorização. Relatórios trimestrais ao conselho devem demonstrar evolução contínua, vinculando métricas técnicas a impacto financeiro mitigado.

5. Qual é o papel da liderança executiva na eliminação da superfície invisível?

A liderança executiva é determinante para romper silos organizacionais que perpetuam ativos não mapeados. Muitas exposições surgem fora da TI tradicional — marketing contrata SaaS, equipes criam ambientes paralelos, subsidiárias operam infraestrutura isolada. Somente o C-Level possui autoridade para impor governança transversal e accountability clara. Além disso, cultura organizacional influencia diretamente adesão a políticas de segurança. Quando executivos comunicam prioridade estratégica e vinculam metas de segurança a bônus e desempenho, a organização responde de forma alinhada. A eliminação da superfície invisível não é apenas projeto técnico; é transformação estrutural orientada por liderança comprometida com resiliência de longo prazo.