Esta página é uma tradução de cortesia. Se houver diferença em relação à versão em inglês, prevalece a versão em inglês. Leia a versão em inglês
Divulgação responsável
Encontrou um problema de segurança? Conte para nós antes que alguém descubra do jeito difícil.
Levamos a sério os relatos de pesquisadores externos e preferimos ouvir você diretamente a encontrar um artigo publicado depois do fato. Esta página explica o que está no escopo, como reportar e o que você pode esperar de volta.
Escopo
O que esta política abrange.
Dentro do escopo
- myshieldid.com e suas páginas dos EUA em myshieldid.com/us, os domínios de redirecionamento shieldid.ca e myshieldid.ca, e seus subdomínios, incluindo o site institucional, o fluxo de verificação e o portal da conta
- A API pública do ShieldID
- Autenticação, gerenciamento de sessão e controle de acesso em qualquer sistema operado pelo ShieldID
Fora do escopo
- Produtos e sites que não operamos, mesmo que usem o ShieldID (RentKey, Crown Ledger e Trust Ledger têm seus próprios contatos de segurança)
- Serviços de terceiros com os quais nos integramos, a menos que o problema esteja na forma como os utilizamos
Como reportar
Envie um e-mail para nós. Não abra uma issue pública nem publique antes.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
Inclua:
- O tipo de problema e a URL, o endpoint ou o sistema afetado
- Passos para reproduzir ou uma prova de conceito
- O que você conseguiu acessar ou realizar, e como confirmou
- Quaisquer ferramentas ou scripts usados, para que possamos reproduzir exatamente os seus passos
O que prometemos
Confirmação de recebimento, uma análise de verdade e nenhum problema jurídico para pesquisas feitas de boa-fé.
Confirmação de recebimento
Buscamos confirmar o recebimento de um relato válido em até três dias úteis. Essa é uma meta que declaramos publicamente, não uma média medida.
Uma investigação genuína
Todo relato é analisado por alguém que pode agir sobre ele, e não filtrado por um formulário que não leva a lugar nenhum.
Nenhuma ação judicial para pesquisas de boa-fé
Se você encontrar e reportar uma vulnerabilidade de boa-fé, dentro do escopo desta política e sem acessar, modificar ou extrair dados além do necessário para demonstrar o problema, não tomaremos medidas legais contra você por essa pesquisa.
Sem programa de recompensas hoje
Atualmente não mantemos um programa pago de bug bounty. Não prometeremos uma recompensa com a qual não podemos nos comprometer, mas prometemos ler e agir sobre o que você nos enviar.
Fora do escopo
Por favor, não faça nada do seguinte como parte de um relato.
- Engenharia social contra nossos funcionários, prestadores de serviço ou clientes
- Tentativas físicas de acessar nossos escritórios ou nossa infraestrutura
- Testes de negação de serviço ou qualquer coisa que degrade o serviço para candidatos reais
- Varredura automatizada em um volume que possa afetar outros usuários, sem nos consultar antes
- Acessar, modificar ou excluir dados de outra pessoa além do necessário para demonstrar um problema
- Spam, phishing ou qualquer tentativa de testar o julgamento da nossa própria equipe em vez do sistema
Porto seguro (safe harbour)
Pesquisas feitas de boa-fé, dentro desta política, são bem-vindas.
Consideramos autorizada a pesquisa de segurança conduzida de acordo com esta política e não iniciaremos ação judicial por essa pesquisa. Esta é uma linguagem geral de porto seguro, e não substitui aconselhamento jurídico específico para a sua situação — se você não tiver certeza de que algo está no escopo, pergunte antes de testar.
Perguntas
Respostas diretas sobre como relatar uma vulnerabilidade.
Pronto para reportar?
Email [email protected] with what you found.
Inclua os passos para reproduzir e o que você conseguiu acessar. Daqui em diante cuidamos disso.