1. Introdução
A segurança é fundamental para nossa operação. Recebemos com satisfação relatos de pesquisadores de segurança, hackers éticos e da comunidade que nos ajudem a identificar e corrigir possíveis vulnerabilidades. Esta política explica como relatar problemas de segurança com responsabilidade e o que você pode esperar de nós.
2. Escopo
Esta política se aplica a vulnerabilidades no aplicativo web da unofax em unofax.com e nas APIs associadas. Estão fora do escopo:
• Serviços de terceiros, como processamento de pagamentos da Square e Google Analytics
• Engenharia social ou phishing contra colaboradores ou usuários da unofax
• Ataques de negação de serviço (DoS/DDoS)
• Problemas de segurança física
• Vulnerabilidades em software ou infraestrutura que não pertençam à unofax
3. Como relatar
Se descobrir uma possível vulnerabilidade, envie um e-mail para support@unofax.com com o máximo possível de detalhes:
• Descrição da vulnerabilidade e do possível impacto
• Passos para reproduzir o problema
• Evidências, como capturas de tela, código de prova de conceito e logs
• Seu nome e informações de contato, opcionais, mas úteis para o acompanhamento
4. Nossos compromissos
Quando você relata uma vulnerabilidade de boa-fé e em conformidade com esta política, nos comprometemos a:
• Confirmar o recebimento em até 3 dias úteis
• Fornecer uma avaliação inicial em até 10 dias úteis
• Manter você informado sobre o andamento da correção
• Não tomar medidas judiciais contra você pelas atividades de pesquisa realizadas de acordo com esta política
• Dar crédito a você, se desejar, quando abordarmos a vulnerabilidade publicamente
5. Diretrizes para pesquisadores
Para conduzir a pesquisa de forma responsável, siga estas diretrizes:
• Não acesse, altere ou exclua dados de outros usuários
• Não interrompa nem prejudique a disponibilidade dos serviços da unofax
• Não divulgue a vulnerabilidade publicamente antes de termos uma oportunidade razoável de corrigi-la
• Aja de boa-fé e evite ações que possam prejudicar a unofax ou seus usuários
• Teste apenas contas suas ou para as quais tenha autorização explícita
6. Proteção jurídica (safe harbor)
Consideramos autorizadas as pesquisas de segurança realizadas em conformidade com esta política e não tomaremos medidas judiciais contra pesquisadores que sigam estas diretrizes. Se um terceiro tomar medidas judiciais contra você por atividades realizadas de acordo com esta política, tomaremos medidas razoáveis para tornar público que suas ações foram autorizadas.
7. Exclusões
Os seguintes tipos de achados geralmente não são elegíveis para análise nos termos desta política:
• Cabeçalhos de segurança ausentes sem exploração demonstrável
• Clickjacking em páginas sem ações sensíveis
• Self-XSS, ou cross-site scripting que afeta apenas a própria sessão do usuário
• Ausência de limitação de taxa sem demonstração de potencial de abuso
• Vulnerabilidades que exigem navegadores ou plug-ins desatualizados
• Problemas encontrados por varredura automatizada sem verificação manual
8. Contato
Envie todos os relatos e pedidos de informação para support@unofax.com.