Política de Divulgação de Vulnerabilidades

1. Âmbito

Esta política aplica-se aos sítios Web públicos, aplicações alojadas e APIs operados pela Sytance Technologies Limited que incluam uma ligação para esta página, incluindo o serviço Sytance.

Os ambientes dos clientes, sistemas geridos por clientes, serviços de terceiros, integrações, projetos de código aberto que não mantemos e infraestrutura que não possuímos nem controlamos estão fora do âmbito. Um componente de terceiros utilizado pela Sytance só está abrangido na medida em que a comunicação diga respeito ao seu efeito num serviço operado pela Sytance.

Se a titularidade ou o âmbito não forem claros, contacte security@sytance.com e aguarde confirmação antes de prosseguir.

2. Investigação autorizada e de boa-fé

A investigação de segurança só é autorizada ao abrigo desta política quando é realizada de boa-fé, se mantém dentro do âmbito, respeita as regras abaixo e se limita ao que é razoavelmente necessário para confirmar e comunicar uma vulnerabilidade suspeita.

• Utilize apenas contas e dados que lhe pertençam ou que tenha autorização para utilizar.
• Realize apenas os testes mínimos necessários para confirmar o problema e mantenha o volume de pedidos suficientemente baixo para não afetar o serviço nem outros utilizadores.
• Pare imediatamente se encontrar dados, credenciais ou informações confidenciais de outra pessoa.
• Não conserve, altere, elimine, divulgue nem transfira grandes volumes de dados.
• Não estabeleça persistência, não implemente malware nem utilize uma vulnerabilidade para qualquer finalidade que não seja a validação e comunicação.
• Comunique prontamente o problema, mantenha os detalhes confidenciais e conceda-nos uma oportunidade razoável para o investigar e resolver.

3. Testes proibidos

• Testes de negação de serviço, carga, esforço ou esgotamento de recursos.
• Engenharia social, phishing, tentativas automatizadas de autenticação com credenciais roubadas ou testes de palavras-passe comuns em várias contas.
• Ataques físicos ou testes de instalações e infraestrutura de terceiros.
• Atividades destrutivas, corrupção de dados, criação massiva de contas ou análise automatizada de grande volume.
• Testes que violem a lei ou os direitos de outra pessoa.
• Ameaças, extorsão ou exigências de pagamento.

4. O que incluir numa comunicação

Uma comunicação concisa, com passos para reproduzir o problema, ajuda-nos a avaliá-lo em segurança e a responder mais rapidamente. Se disponíveis, inclua os seguintes elementos:

• O domínio, URL, rota da API, funcionalidade ou componente afetado.
• Uma descrição clara da vulnerabilidade e do impacto potencial.
• Passos de reprodução utilizando uma conta de teste e dados saneados.
• Uma prova de conceito mínima, pedido e resposta, captura de ecrã ou excerto de registo.
• Quaisquer pré-condições e medidas de segurança adotadas.
• Os seus dados de contacto preferenciais.

5. Prazos de resposta previstos

Procuramos confirmar a receção de uma comunicação suficientemente completa no prazo de três dias úteis e fornecer os resultados da avaliação inicial no prazo de dez dias úteis. Enquanto um problema confirmado estiver a ser investigado ativamente, procuramos comunicar progressos relevantes pelo menos a cada dez dias úteis, se a pessoa que o comunicou tiver fornecido dados de contacto válidos.

Um dia útil corresponde a um dia de segunda a sexta-feira, excluindo feriados em Hong Kong. Estes são prazos de comunicação previstos, não prazos garantidos para a correção. Uma comunicação incompleta, um volume elevado de submissões, uma complexidade técnica invulgar ou a dependência de terceiros podem prolongar os prazos; se tal acontecer, comunicaremos uma nova previsão sempre que praticável.

6. Como tratamos uma comunicação

• Receção e acompanhamento — registamos a comunicação, verificamos se o ativo afetado está abrangido e estabelecemos um canal de contacto com a pessoa que comunicou o problema.
• Triagem e reprodução — avaliamos as informações fornecidas, tentamos reproduzir o comportamento, eliminamos duplicados e pedimos esclarecimentos quando necessário.
• Avaliação e priorização do risco — se validado, avaliamos a gravidade, a explorabilidade, os dados e utilizadores afetados, a exposição, os controlos compensatórios e as evidências de exploração ativa.
• Correção e verificação — a equipa responsável desenvolve uma medida de mitigação ou correção, testa-a, gere as dependências relevantes de lançamento ou de terceiros e verifica o resultado.
• Encerramento e divulgação — comunicamos à pessoa que reportou o problema o resultado que podemos partilhar, coordenamos qualquer divulgação pública e ponderamos se é adequado publicar um aviso de segurança ou reconhecer a contribuição.

7. Salvaguarda jurídica

Se procurar de boa-fé cumprir esta política, trataremos a sua investigação como autorizada na medida em que possamos conceder legalmente essa autorização e não iniciaremos uma ação judicial apenas por uma conduta acidental, de boa-fé e dentro do âmbito da política.

Se um terceiro iniciar uma ação judicial relativa a uma atividade que tenha cumprido esta política, poderemos confirmar que essa atividade foi realizada ao abrigo do nosso processo de divulgação de vulnerabilidades. Não podemos autorizar atividades em nome de outra organização nem garantir a resposta de terceiros ou de autoridades públicas.

Esta salvaguarda jurídica não autoriza condutas ilícitas, imprudentes, maliciosas ou extorsivas, não renuncia aos direitos de terceiros nem protege uma conduta que prossiga depois de lhe pedirmos que pare.

8. Divulgação coordenada e reconhecimento

Mantenha confidenciais a vulnerabilidade suspeita, a prova de conceito, as informações sobre clientes afetados e os detalhes da correção enquanto investigamos. Normalmente, procuramos coordenar a divulgação no prazo de 90 dias de calendário após confirmarmos a receção de uma comunicação suficientemente completa. Antes de publicar informações, contacte-nos para acordarmos o âmbito técnico e uma data que permita aos utilizadores protegerem-se.

A data adequada para a divulgação pode ser antecipada ou adiada consoante a gravidade, a exploração ativa, o risco para os clientes, a preparação do lançamento e os terceiros afetados. Não solicitaremos uma prorrogação apenas para evitar escrutínio; se for necessário mais tempo, explicaremos o motivo que possa ser divulgado com segurança.

Poderemos publicar um aviso quando a divulgação ajudar os utilizadores a protegerem-se. Antes de identificar a pessoa que comunicou o problema, discutiremos com ela como será reconhecida.

Esta política não é um programa de recompensas por vulnerabilidades e não confere direito a pagamento, prémio, emprego ou outra compensação.