Reportar uma vulnerabilidade
Supernormal está comprometida com a segurança dos dados dos nossos clientes. Fazemos todo o possível para garantir que seus dados permaneçam seguros. Encorajamos a divulgação responsável e agradecemos sua assistência em manter nosso aplicativo seguro. A seguir, detalhamos os passos que você pode seguir para relatar um problema à nossa equipe.
Como relatar um problema
Antes de relatar, certifique-se de que você descobriu uma vulnerabilidade legítima e não um falso positivo. Realize testes minuciosos e reúna evidências suficientes para demonstrar o impacto da vulnerabilidade. Se você descobriu um problema, por favor envie um email para [email protected] com os seguintes detalhes:
Descrição: Descreva claramente a vulnerabilidade, seu impacto e qualquer vetor de ataque potencial
Passos para Reproduzir: Forneça um guia passo a passo para reproduzir a vulnerabilidade
Ferramentas/Dependências: Mencione quaisquer ferramentas, versões de software ou dependências usadas durante sua pesquisa
Forneça código de prova de conceito ilustrando o exploit, se aplicável
Nossa equipe investigará o problema assim que recebermos seu relatório. Manteremos você atualizado sobre o progresso e podemos entrar em contato para mais detalhes, se necessário. Assim que o problema for resolvido, atualizaremos nossos clientes.
A Supernormal irá compensar você por relatórios de quaisquer vulnerabilidades válidas com uma pontuação de CVSS de 4 ou superior.
Escopo
Nosso programa de divulgação de vulnerabilidades se concentra em nosso aplicativo web principal e API. Isso inclui potenciais vulnerabilidades no código fonte do aplicativo, configurações, infraestrutura de servidor e serviços associados.
Fora de Escopo:
Escaneamento automatizado de vulnerabilidades
Erros que permitem a um atacante ignorar limites em contas gratuitas e/ou obter acesso a recursos em planos pagos
Vulnerabilidades em aplicações ou serviços de terceiros não geridos diretamente por nós
Ataques de negação de serviço ou ataques de negação de serviço distribuída (DDoS)
Vulnerabilidades resultantes de software cliente desatualizado ou comportamento inseguro do usuário
Vulnerabilidades que dependem de acesso físico ao dispositivo de um cliente
Relatórios sobre melhores práticas em relação à configuração de DNS, CSP, e CORS, embora informativos, não qualificam para recompensa
Engenharia social de qualquer tipo
Dentro do Escopo:
Porto Seguro
Para incentivar a divulgação responsável, oferecemos uma política de porto seguro. Isso significa que, desde que você siga as diretrizes descritas neste documento, não iniciaremos nenhuma ação legal contra você em relação às suas atividades de pesquisa. Também nos comprometemos a trabalhar com você de maneira ágil para abordar e resolver vulnerabilidades reportadas.
No entanto, por favor, note que esperamos que você aja de forma ética e responsável, respeitando a privacidade dos usuários, evitando qualquer acesso não autorizado a dados e abstendo-se de ações destrutivas ou interrupções aos nossos serviços.
Dúvidas?
Se você tiver alguma dúvida sobre estes Termos de Uso, entre em contato conosco em [email protected] ou [email protected].