Politica de Seguranca

Escopo

Vulnerabilidades aceitas:

• Cross-Site Scripting (XSS)
• Cross-Site Request Forgery (CSRF)
• SQL Injection e outros ataques de injecao
• Falhas de autenticacao e autorizacao
• Exposicao de dados sensiveis
• Configuracoes inseguras
• Vulnerabilidades de logica de negocio

Fora do escopo:

• Ataques de engenharia social
• Ataques fisicos
• Ataques de negacao de servico (DoS/DDoS)
• Vulnerabilidades em servicos de terceiros
• Spam ou phishing

Classificacao de Severidade

Utilizamos o padrao CVSS para classificar vulnerabilidades:

Como Reportar

Ao reportar uma vulnerabilidade, inclua:

• Descricao detalhada da vulnerabilidade
• Passos para reproduzir o problema
• Avaliacao do impacto potencial
• Sugestao de correcao (se houver)
• Screenshots ou prova de conceito (opcional)

Processo de Resposta

Reconhecimento

Como uma startup em fase inicial, atualmente nao possuimos verba para um programa de Bug Bounty com recompensas financeiras. No entanto, queremos muito, no futuro, ter recursos para apoiar adequadamente os pesquisadores de seguranca.

Atualmente oferecemos:

• Reconhecimento publico no nosso Hall da Fama
• Agradecimento especial para descobertas significativas

Regras de Conduta

• Nao acesse dados de outros usuarios
• Nao delete ou modifique dados
• Evite realizar testes em producao (se possivel)
• Mantenha confidencialidade ate a correcao
• Nao explore vulnerabilidades alem da prova de conceito