Na ActorDo ActorDo, estamos empenhados em manter o mais elevado nível de segurança, integridade e confiança para os nossos utilizadores, parceiros e sistemas.
Saiba mais sobre a ActorDo Segurança dos dados e Política de privacidade
O nosso Programa de Divulgação de Vulnerabilidades (VDP) foi concebido para proporcionar uma forma clara, segura e responsável de investigadores de segurança, hackers éticos e membros da comunidade comunicarem vulnerabilidades de segurança nos nossos produtos e serviços.
Este programa incentiva a cooperação e a divulgação responsável, permitindo-nos identificar, corrigir e minimizar riscos antes que possam ser explorados.
Âmbito
Os sistemas e ativos abrangidos incluem (mas não se limitam estritamente a):
- Aplicações web e APIs do ActorDo
- Serviços de backend, microsserviços e infraestrutura na nuvem
- Sistemas internos, conforme permitido mediante aprovação prévia (consulte os contactos)
Os sistemas e ativos não abrangidos incluem:
- Serviços, integrações ou dependências de terceiros que não tenham sido desenvolvidos pela ActorDo
- Ataques físicos / hardware (por exemplo, centros de dados e dispositivos, salvo autorização explícita)
- Engenharia social, phishing ou ataques de falsificação de identidade (salvo autorização explícita por escrito)
- Bugs não relacionados com a segurança ou pedidos de funcionalidades
- Qualquer teste que possa causar interrupção do serviço ou negação de serviço
Para ser elegível, a vulnerabilidade deve:
- Esteja presente na versão mais recente disponibilizada publicamente (ou versão beta lançada oficialmente)
- Resultar num impacto na segurança (por exemplo, fuga de dados, escalada de privilégios, execução remota de código, contorno de controlos)
Diretrizes e regras de conduta
Ao participar, siga estas regras para poder receber reconhecimento ou recompensas:
- Não causar danos
- Não elimine nem modifique dados, nem interrompa as operações normais.
- Evite ações perturbadoras (por exemplo, lançar ataques DDoS ou causar degradação do serviço).
- Limite os seus testes
- Não tente aceder a dados não públicos nem manipulá-los para além do estritamente necessário para demonstrar a vulnerabilidade.
- Sempre que possível, utilize um ambiente de teste ou uma conta não destinada a produção.
- Confidencialidade
- Não divulgue publicamente as suas descobertas (em blogues, redes sociais, etc.) antes de a ActorDo ter tido um prazo razoável para responder e corrigir o problema (consulte «Prazo de divulgação»).
- Não partilhe nem venda as informações a terceiros.
- Sem engenharia social
- O phishing, a usurpação de identidade ou técnicas semelhantes estão fora do âmbito, salvo autorização explícita.
- Respeite a privacidade e as restrições legais
- Não viole as leis de privacidade nem aceda a dados pessoais sensíveis para além do necessário para demonstrar a falha.
- Cumpra as leis e os regulamentos locais aplicáveis, bem como as melhores práticas.
- Divulgação e coordenação
- Dê-nos tempo (normalmente 90 dias) para resolver o problema antes da divulgação pública, salvo acordo em contrário.
- Se considerar que se justifica uma divulgação antecipada (por exemplo, devido ao risco de exploração), informe-nos para podermos coordenar um prazo mais curto.
A violação destas regras (por exemplo, através de ações destrutivas ou da divulgação pública sem coordenação) pode tornar uma submissão inelegível para receber uma recompensa ou reconhecimento público.
Comunicar uma vulnerabilidade
O que incluir no seu relatório
Envie o seu relatório para alex@actordo.com e inclua:
- Uma breve descrição do problema
- Passos para reproduzir o problema ou prova de conceito
- Sistema ou URL afetado
- (Opcional) o seu nome ou pseudónimo para efeitos de reconhecimento
Confirmaremos a receção do seu relatório no prazo de 5 dias úteis e mantê-lo-emos informado enquanto trabalhamos numa solução. Nem todas as submissões receberão uma confirmação, caso não sejam consideradas válidas.
Na sua submissão, indique se pretende manter o anonimato ou receber reconhecimento público.
Reconhecimento e recompensas
- Poderemos oferecer recompensas de agradecimento ou reconhecimento público, consoante o impacto e a clareza.
- As recompensas são atribuídas a nosso critério e dependem da gravidade e da qualidade do relatório.
- Problemas duplicados ou de baixo impacto poderão não ser elegíveis.
Salvaguarda jurídica
Se cumprir esta política de boa-fé, estará protegido contra ações judiciais relacionado com a sua investigação.
Obrigado por nos ajudar a manter o ActorDo seguro.