> ## Documentation Index > Fetch the complete documentation index at: https://docs.tori.finance/llms.txt > Use this file to discover all available pages before exploring further. > ## Agent Instructions > Pages whose paths begin with /zh-Hans/, /ja/, /ko/, /vi/, /id/, /hi/, /pt-BR/ or /es/ are machine translations of the English pages, provided for convenience only. They may contain errors or omissions and have no legal effect, and where one differs from the English page, the English page prevails. For anything that will be relied on, read and cite the English page at the same path without the language prefix. # Papéis, multisig e timelocks > Os papéis privilegiados nos contratos da Tori na mainnet: o que cada um pode fazer, quem o detém e o que passa pelo timelock de 24 horas A Tori precisa fazer a ponte entre contratos on-chain e plataformas de liquidez com compensação centralizada, e essa ponte exige chaves privilegiadas. Esta página apresenta os papéis privilegiados nos contratos da Tori na mainnet: o que cada um pode fazer, quem o detém e o que passa pelo timelock. Cada papel abaixo está em um [contrato verificado](/pt-BR/resources/contracts.md) e todo detentor pode ser consultado on-chain, então cada linha aqui é algo que você pode conferir por conta própria. Duas regras de projeto permeiam toda a matriz. **Privilégio mínimo**: nenhum papel pode ir além da tarefa que lhe dá nome, e os papéis que só podem *reduzir* os poderes do protocolo são justamente os que ficam nas chaves mais rápidas. **Atraso na expansão**: tudo o que amplia a superfície do protocolo (um novo ativo de garantia, um novo destino de custódia, uma nova implementação) aguarda 24 horas publicamente antes de poder ser executado. ## Como as chaves são mantidas O modelo de custódia de um papel é uma decisão de risco deliberada, por isso a matriz o indica para cada papel. | Custódia | O que significa | | - | - | | **Safe 3 de 5** | Gnosis Safe v1.4.1. Três de cinco signatários precisam aprovar, e o quórum é exigido on-chain, onde qualquer pessoa pode consultá-lo | | **Vault MPC** | A chave é dividida em fragmentos distribuídos pela infraestrutura de um provedor regulado. Ninguém, nem mesmo o provedor, consegue assinar sozinho; o quórum de aprovação é exigido no motor de políticas do provedor | | **EOA** | Um endereço de assinatura individual operado pela Tori | O que limita os papéis em EOA é o contrato, e não o arranjo de custódia. Cada um é restrito por construção: executa instruções que um usuário já assinou, ou escreve em uma lista, e é verificado em relação aos limites do próprio protocolo a cada chamada. A matriz abaixo mostra exatamente o alcance de cada um. ## Matriz de papéis | Papel | Contrato | Detido por | Funções | Observações | | - | - | - | - | - | | **Proprietário / Admin** | trUSD, strUSD, Minting, Distributor, YT-Lock | Safe 3 de 5 | Conceder e revogar os papéis operacionais nesses contratos; `pause` / `unpause`; `setMaxMintPerBlock`, `setMaxRedeemPerBlock`; remover ou desativar um token de garantia; `removeCustodianAddress` | Proprietário e Admin são o mesmo Safe. São papéis separados on-chain e podem ser desmembrados sem alteração no contrato | | **Timelock Admin** | trUSD, strUSD, Minting, YT-Lock | O contrato de timelock | `_authorizeUpgrade` (upgrades de contrato); `addAllowedToken`, `enableAllowedToken`; `addCustodianAddress`; `setStablesDeltaLimit`; `setMinter` | Acessível apenas por meio de uma operação enfileirada no timelock | | **Timelock Proposer** | Timelock | Safe 3 de 5 | Enfileirar uma operação | | | **Timelock Executor** | Timelock | Safe 3 de 5 | Executar uma operação enfileirada após o prazo de espera | A execução exige sua própria aprovação 3 de 5, um dia depois daquela que a enfileirou: são duas decisões separadas | | **Timelock Canceller** | Timelock | Vault MPC | Cancelar uma operação enfileirada | Pode impedir uma alteração enfileirada, nunca fazer uma | | **Controlador de Acesso** | Minting | Vault MPC + parte externa | `disableMintRedeem`; `removeMinterRole`, `removeRedeemerRole`, `removeCollateralManagerRole` | Só pode retirar poderes, nunca concedê-los. Um dos detentores é a Tori; o outro, uma parte externa | | **Gestor da Lista de Permissões** | Minting | Vault MPC | `addToWhitelist`, `addToWhitelistBatch`, `removeFromWhitelist` | Mint e resgate dependem da lista de permissões no próprio contrato, então este papel decide, antes de tudo, quem pode operar | | **Gestor de Garantias** | Minting | Vault MPC | `transferToCustody` | Os destinos se limitam a endereços de custodiantes já registrados por meio do timelock | | **Minter** | Minting | 3 EOAs | `mint()` | Envia ordens EIP-712 assinadas pelo usuário; não pode criar uma por conta própria | | **Redeemer** | Minting | 3 EOAs | `redeem()` | Igual ao Minter | | **Blacklist Manager** | strUSD | Safe + EOA | `addToBlacklist`, `removeFromBlacklist` e suas versões em lote | Triagem de compliance | | **Rewarder** | strUSD | Safe + contrato Distributor | `transferInRewards`, `reportLoss` | Um dos detentores é um contrato, não uma chave | | **Operador de Recompensas** | Distributor | Vault MPC | Acionar uma distribuição programada | Não pode alterar o valor | O Minter pode enviar uma ordem assinada por um usuário, e nada mais. O Controlador de Acesso pode retirar esse papel em uma só transação, sem quórum de multisig. ## O que passa pelo timelock de 24 horas O timelock é [`0xA952453E39F77108Ee37C1b92de593F1C59A6ef4`](https://etherscan.io/address/0xA952453E39F77108Ee37C1b92de593F1C59A6ef4) e seu prazo mínimo de espera é de 86.400 segundos. Ele detém o papel Timelock Admin nos contratos centrais, o que significa que estas quatro operações não podem acontecer sem que ninguém perceba: * **Upgrades de contrato.** Uma nova implementação do trUSD, do strUSD ou do Minting é primeiro enfileirada publicamente. * **Um novo ativo de garantia.** A inclusão passa pelo timelock; a remoção ou desativação é imediata, porque o caminho rápido deve ser o caminho seguro. * **Um novo destino de custódia.** `addCustodianAddress` passa pelo timelock. É essa operação que define para onde a garantia depositada pode ir, por isso é a que mais merece atenção. * **Aumento do limite de delta de stablecoins.** Qualquer pessoa pode acompanhar a fila no Etherscan. Uma operação enfileirada que ninguém esperava fica visível por um dia inteiro antes de poder ser executada, e o Timelock Canceller fica em uma chave capaz de barrá-la em uma só transação. ## Limites de volume Mint e resgate têm limites por bloco, por ativo e globais, no nível do contrato. O limite é verificado a cada chamada e se aplica aos papéis Minter e Redeemer, seja qual for a ordem que receberam. Alterar um limite é uma função do Proprietário, portanto exige o Safe 3 de 5; não é algo que uma chave operacional possa ampliar por conta própria. ## Confira você mesmo Cada atribuição de papel desta tabela pode ser lida na blockchain, e nada disso precisa ser aceito na base da confiança: * **Quem detém um papel**: `hasRole(role, address)` no contrato * **O quórum do Safe**: `getThreshold()` e `getOwners()` no Safe * **O prazo de espera do timelock**: `getMinDelay()` no timelock * **O que está na fila agora**: os eventos do timelock no Etherscan Os limiares de aprovação do MPC ficam no motor de políticas do provedor de custódia, e não on-chain. Estamos providenciando a confirmação deles pelo provedor e uma verificação independente, que pretendemos publicar junto com nossos dados de prova de reservas. > [!NOTE] > > **Tradução automática:** esta página é uma tradução automática do original em inglês, fornecida apenas por conveniência. Ela pode conter erros ou omissões e não tem efeito jurídico. Se houver divergência entre esta página e a versão em inglês, prevalece a versão em inglês. Leia o [original em inglês](/security/roles.md) antes de se basear em qualquer informação desta página. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.