Política de divulgação de vulnerabilidades

Socialinsider - um produto da Code Path SRL

O Socialinsider está empenhado em garantir a segurança dos seus usuários, protegendo as suas informações. Esta política fornece aos pesquisadores de segurança diretrizes para realizar atividades de descoberta de vulnerabilidades e instruções sobre como nos enviar vulnerabilidades.

Esta política descreve quais sistemas e tipos de pesquisa são abrangidos por ela, como nos enviar relatórios de vulnerabilidades e por quanto tempo pedimos que os pesquisadores de segurança aguardem antes de divulgar vulnerabilidades publicamente. Incentivamos você a entrar em contato conosco para relatar possíveis vulnerabilidades nos nossos sistemas.

Se você fizer um esforço de boa-fé para cumprir esta política durante a sua pesquisa de segurança, consideraremos a sua pesquisa autorizada e trabalharemos com você para entender e resolver o problema rapidamente. O Socialinsider não recomendará nem iniciará uma ação legal relacionada à sua pesquisa. Caso um terceiro inicie uma ação legal contra você por atividades realizadas de acordo com esta política, tornaremos esta autorização conhecida.

Diretrizes

De acordo com esta política, “pesquisa” significa atividades nas quais você, como pesquisador de segurança:

• Nos notifica assim que possível depois de descobrir qualquer problema de segurança.
• Faz todo o possível para evitar violações de privacidade, degradação da experiência do usuário, interrupções nos sistemas de produção e destruição ou manipulação de dados.
• Usa exploits apenas na medida necessária para confirmar a presença de uma vulnerabilidade. Não use um exploit para comprometer ou exfiltrar dados, estabelecer acesso persistente à linha de comando ou usar o exploit para alcançar outros sistemas.
• Nos dá um prazo razoável para resolver o problema antes de divulgá-lo publicamente.
• Não envia um grande volume de relatórios de baixa qualidade.

Para nos ajudar a entender os relatórios, recomendamos que seu envio:

• Descreva o local onde a vulnerabilidade foi descoberta e o impacto potencial da exploração.
• Forneça uma descrição detalhada das etapas necessárias para reproduzir a vulnerabilidade — capturas de tela ou gravações de vídeo são úteis.
• Seja escrito em inglês

Depois de confirmar que existe uma vulnerabilidade ou encontrar qualquer dado confidencial (incluindo informações de identificação pessoal, informações financeiras ou informações proprietárias ou segredos comerciais de qualquer parte), você deve interromper o teste, nos notificar imediatamente e não divulgar esses dados a mais ninguém.

Práticas proibidas

Os seguintes métodos de teste não são autorizados:

• Testes de negação de serviço (DoS ou DDoS) ou outros testes que prejudiquem o acesso aos sistemas
• Testes de vulnerabilidade não técnicos

Esta política aplica-se aos seguintes sistemas e serviços:

• https://www.socialinsider.io
• https://app.socialinsider.io

Qualquer serviço não listado expressamente acima, como serviços conectados, está fora do escopo e não está autorizado para testes.
Além disso, as vulnerabilidades encontradas nos sistemas dos nossos fornecedores estão fora do escopo desta política e devem ser comunicadas diretamente ao fornecedor, de acordo com a respetiva política de divulgação, se existir.
Se não tiveres a certeza de que um sistema está dentro do escopo, contacta-nos através de security@socialinsider.io antes de iniciares a tua pesquisa

Se houver um sistema específico fora do escopo que consideres merecer ser testado, contacta-nos para o discutirmos primeiro. O escopo desta política pode ser ampliado ao longo do tempo.

Comunicar uma vulnerabilidade

As informações enviadas ao abrigo desta política serão utilizadas exclusivamente para fins defensivos – para mitigar ou corrigir vulnerabilidades.

Se as tuas descobertas incluírem vulnerabilidades recém-descobertas que afetem todos os utilizadores de um produto ou serviço, e não apenas a Socialinsider, poderemos partilhar o teu relatório com terceiros, que o tratarão segundo o seu processo coordenado de divulgação de vulnerabilidades.

Não partilharemos os teus dados de contacto sem a tua autorização expressa.
Aceitamos relatórios de vulnerabilidades através de security@socialinsider.io. Os relatórios podem ser enviados anonimamente.

Quando optares por partilhar os teus dados de contacto connosco, comprometemo-nos a coordenar contigo de forma tão aberta e rápida quanto possível.

• Num prazo de 7 dias úteis, confirmaremos que recebemos o teu relatório.
• Confirmaremos a existência da vulnerabilidade e seremos tão transparentes quanto possível sobre as medidas que estamos a tomar durante o processo de correção
• Manteremos uma conversa sobre os problemas.