Política de Segurança

Relatar uma vulnerabilidade

Não abra uma issue pública nem divulgue uma suspeita de vulnerabilidade antes de termos uma oportunidade razoável de investigá-la.

Relatos anônimos são aceitos e os dados de contato são opcionais. Para receber respostas e coordenar a divulgação, informe um meio confiável de contato.

Não envie senhas, tokens, dados de clientes ou uma prova de conceito irrestrita por e-mail. Descreva o problema primeiro e solicite um canal mais seguro quando a evidência for sensível.

O que incluir

• URL, API, funcionalidade ou commit afetado.
• Impacto resumido e um cenário de ataque realista.
• Passos reproduzíveis e não destrutivos, usando uma conta de teste.
• A evidência mínima necessária para demonstrar o problema.
• Pré-requisitos, condições mitigadoras e uma correção sugerida, se houver.

Escopo

Dentro do escopo

• O serviço em produção em https://chatoncloud.com.br.
• APIs e funcionalidades servidas nesse domínio e operadas pelo Chat On Cloud.
• A linha atual da branch main quando o problema puder afetar produção.

Geralmente fora do escopo

• Sistemas, integrações ou infraestrutura não operados pelo Chat On Cloud.
• Branches antigas, forks, ferramentas locais e instalações não suportadas.
• Recomendações sem impacto de segurança demonstrável.
• Saída isolada de scanner automático sem evidência reproduzível.
• Relatos duplicados sem informação material nova.

Regras de teste

Use apenas sua própria conta e pare assim que houver evidência suficiente. Não:

• Acesse, altere, retenha ou divulgue dados de terceiros.
• Realize negação de serviço, degradação ou tráfego excessivo.
• Use engenharia social, phishing, força bruta, credential stuffing ou spam.
• Estabeleça persistência, faça movimento lateral ou exfiltre dados.
• Teste serviços de terceiros ou clientes sem autorização explícita.

Ao encontrar dados pessoais, credenciais ou conteúdo de outro usuário, interrompa o teste, não copie dados adicionais e faça o relato imediatamente.

Processo de resposta

1. Confirmação de recebimento em até dois dias úteis.
2. Triagem inicial em até cinco dias úteis quando o relato for reproduzível.
3. Classificação como aceito, pendente de informação, duplicado ou fora do escopo.
4. Atualização relevante ao menos a cada dez dias úteis durante a correção.
5. Validação da correção, reteste quando apropriado e comunicação do encerramento.

Esses prazos são metas, não garantias contratuais. Exploração ativa, impacto, dados afetados e risco de implantação determinam a prioridade.

Divulgação coordenada e safe harbor

Solicitamos até 90 dias após a confirmação do relato antes da divulgação pública. O período pode ser ajustado por acordo conforme a complexidade, exploração ativa, disponibilidade pública e segurança da implantação.

Pesquisas de boa-fé que respeitem esta política, evitem danos e cumpram a lei aplicável serão tratadas pelo Chat On Cloud como pesquisa de segurança autorizada. Não iniciaremos ação legal exclusivamente por essa pesquisa. Em caso de dúvida sobre um teste, entre em contato antes de realizá-lo.

Este safe harbor não autoriza ações contra terceiros nem afasta direitos ou obrigações que não possam ser legalmente renunciados.

Dados, reconhecimento e recompensas

O acesso aos relatos é restrito às pessoas envolvidas na triagem e correção. Retemos somente a evidência razoavelmente necessária para fins de segurança, operação e obrigações legais.

Podemos reconhecer publicamente um pesquisador após a correção, somente com seu consentimento. Esta política não constitui um programa de bug bounty nem garante pagamento, presente ou reconhecimento.