Política de divulgação de vulnerabilidades
Última atualização em
A Seferu leva a sério a segurança dos seus sistemas e agradece os relatos de quem identifica possíveis vulnerabilidades que afetem a Seferu.
Esta política explica como relatar uma suspeita de vulnerabilidade e quais informações pedimos no relato, para que possamos avaliá-lo e responder da forma adequada.
1. Como relatar
Envie o relato para: security@seferu.com
Inclua, no mínimo:
- uma descrição da possível vulnerabilidade e do seu impacto;
- os passos para reproduzir o problema; e
- o seu contato.
Se tiver, inclua também o que nos ajude a confirmar o problema: capturas de tela, logs, prova de conceito, URLs afetadas, endereços IP, exemplos de requisição e resposta ou sugestões de correção.
A Seferu procura confirmar o recebimento ou responder aos relatos em até 5 dias úteis.
2. Escopo
Esta política vale para suspeitas de vulnerabilidade que afetem: *.seferu.com e as fontes oficiais que a Seferu publica nos subdomínios dos clientes, como si.suamarca.com.
Relatos que envolvam apenas produtos, serviços ou infraestrutura de terceiros que a Seferu não controla ficam fora do escopo, a menos que mostrem que o problema vem do código, da configuração ou da implementação da própria Seferu.
3. Fora do escopo
Ficam fora do escopo desta política:
- engenharia social, phishing ou tentativas de se passar por outra pessoa;
- questões de segurança física;
- negação de serviço, distribuída ou não;
- spam, força bruta, credential stuffing ou ataques automatizados em volume;
- malware, ransomware ou cargas destrutivas;
- problemas que envolvam apenas serviços ou aplicações de terceiros que não pertencem à Seferu nem são controlados por ela; e
- relatos sem detalhes suficientes para a Seferu reproduzir ou avaliar o problema.
4. O que esperamos de quem pesquisa
Ao identificar e relatar uma possível vulnerabilidade à Seferu:
- aja de boa-fé;
- forneça informações corretas e completas;
- evite qualquer atividade que interrompa, degrade ou prejudique os sistemas ou serviços da Seferu;
- não acesse, use, modifique, divulgue ou apague dados que não são seus; e
- relate o problema em particular à Seferu e dê a ela um prazo razoável para avaliar e corrigir antes de qualquer divulgação pública.
5. Sem compromisso de recompensa
A Seferu pode, a seu critério, reconhecer ou recompensar alguns relatos válidos. Ela não é obrigada a oferecer recompensa, e a decisão de oferecer, e em que valor, cabe somente à Seferu.
6. Porto seguro
Se você fizer um esforço de boa-fé para cumprir esta política ao identificar e relatar uma possível vulnerabilidade, a Seferu não moverá ação judicial contra você com base apenas na sua participação neste processo.
Este porto seguro vale apenas se as suas atividades:
- se limitarem aos ativos expressamente indicados no escopo desta política;
- cumprirem as restrições e as expectativas desta política;
- não envolverem acessar, usar, modificar, divulgar ou apagar dados que não são seus;
- não interromperem, degradarem ou prejudicarem os sistemas ou serviços da Seferu; e
- forem relatadas sem demora e em particular à Seferu, em security@seferu.com.
O porto seguro não vale para condutas fora do escopo desta política, que causem dano à Seferu ou a terceiros, que envolvam sistemas ou dados de terceiros ou que violem a lei aplicável. A Seferu reserva todos os seus direitos quanto a condutas fora do escopo desta política.
7. Divulgação pública
Pedimos que você não divulgue publicamente uma possível vulnerabilidade antes que a Seferu tenha tido um prazo razoável para investigar e corrigir o problema.
8. Reserva de direitos
A Seferu se reserva o direito de decidir, a seu critério:
- se um problema relatado é uma vulnerabilidade de segurança;
- se um relato está dentro do escopo;
- quais medidas tomará em resposta, se tomar alguma; e
- se oferecerá algum reconhecimento ou recompensa.
9. Contato
Dúvidas sobre esta política podem ser enviadas para: security@seferu.com