Política de Divulgação de Vulnerabilidades

Envie seu relato por meio da nossa página de contato com o assunto "Security report" e inclua: o produto, software ou serviço afetado e sua versão; o ambiente em que o problema foi observado; etapas claras para reproduzi-lo; o impacto potencial; e qualquer material de prova de conceito necessário para confirmar o problema.

Buscamos confirmar o recebimento dos relatos prontamente, mantê-lo informado enquanto investigamos e informar se o relato foi aceito e qual correção está planejada. Os prazos de correção dependem da gravidade e da complexidade; podemos solicitar esclarecimentos ou mais detalhes sobre a reprodução.

Durante a investigação, não: acesse, modifique ou exclua dados que não lhe pertençam; degrade ou interrompa nossos serviços ou os de outros usuários; use engenharia social, phishing ou ataques físicos contra nossos funcionários ou instalações; ou divulgue publicamente detalhes do problema antes que tenhamos tido uma oportunidade razoável de lançar uma correção.

Se você envidar esforços de boa-fé para cumprir esta política durante sua pesquisa, não moveremos nem apoiaremos medidas legais contra você por essa pesquisa, e deixaremos isso claro a qualquer terceiro que perguntar. Esta garantia não se estende a atividades que violem a lei ou os direitos de terceiros.

Relatos que se baseiem apenas em navegadores ou sistemas operacionais desatualizados, em resultados automatizados de scanners sem impacto demonstrado, na ausência de cabeçalhos de segurança sem exploração prática, ou em engenharia social contra nossos funcionários geralmente não são elegíveis para confirmação de recebimento.