Política de divulgação responsável

Escopo

Esta política cobre somente o site e a aplicação pública hospedados em https://www.portalauau.com.br, nos recursos operados pelo Portal AuAu.

Domínios de terceiros, provedores de hospedagem, Cloudflare, redes sociais, serviços de e-mail, lojas e sistemas de parceiros não fazem parte do escopo. Não teste esses serviços nem presuma autorização para agir em nome do Portal.

Testes permitidos

• Verificar cabeçalhos de segurança, configurações públicas e comportamento de páginas acessíveis sem autenticação.
• Testar autenticação e autorização com contas e dados criados por você, sem tentar acessar informações de outras pessoas.
• Demonstrar uma falha com o mínimo de requisições e impacto, interrompendo o teste assim que conseguir evidência suficiente.
• Usar arquivos benignos e conteúdo de teste que não execute ações, não contenha dados reais e possa ser removido com segurança.

Use apenas contas próprias e dados sintéticos. Se uma resposta revelar dados de outra pessoa, não continue, não copie nem compartilhe o conteúdo; registre somente o mínimo necessário para explicar o problema.

Testes proibidos

• Negação de serviço (DoS), estresse, inundação de requisições ou qualquer teste que prejudique a disponibilidade.
• Phishing, engenharia social, contato enganoso com usuários, funcionários ou parceiros, e tentativa de obter credenciais.
• Acessar, alterar, baixar, manter ou divulgar dados, contas ou arquivos de terceiros.
• Apagar ou modificar dados, publicar conteúdo, instalar persistência, executar malware ou interromper operações.
• Escanear ou explorar infraestrutura de terceiros, fazer testes fora do escopo ou continuar após encontrar dados alheios.

Como relatar uma vulnerabilidade

Envie relatos de vulnerabilidade para [email protected] e use o assunto Relato de segurança — Portal AuAu. Esse endereço também está publicado em /.well-known/security.txt. Não envie senhas, cookies, tokens válidos nem dados pessoais que não sejam indispensáveis para demonstrar a falha.

Quando o canal estiver ativo, envie uma descrição objetiva com:

• Resumo do problema, página ou recurso afetado e impacto possível.
• Passos para reproduzir usando sua própria conta e dados de teste.
• Data, horário e fuso, além de capturas ou trechos de requisição/resposta estritamente necessários.
• Versão do navegador e outras condições relevantes para reproduzir.

Remova cookies, tokens, senhas, dados pessoais e conteúdo de terceiros das evidências. Não anexe bancos de dados, listas de usuários ou arquivos confidenciais.

Confirmação, atualizações e divulgação coordenada

A meta é confirmar o recebimento em até 5 dias úteis e enviar uma atualização a cada 10 dias úteis enquanto o caso estiver em análise. O prazo começa quando o relato chegar à caixa monitorada.

O Portal AuAu avaliará o impacto, investigará e buscará corrigir o problema de acordo com sua gravidade e complexidade. Pediremos que você mantenha os detalhes em sigilo até a correção ou até combinarmos por escrito uma data de divulgação. Se não houver acordo, converse com o Portal antes de publicar para reduzir riscos aos usuários.

Para indisponibilidade, abuso ou problema de uso sem detalhes técnicos de vulnerabilidade, use os canais de atendimento em Contato. Esse fluxo de atendimento é separado do canal de segurança por e-mail; não envie provas técnicas ou dados sensíveis pelo contato geral.

Compromisso de safe harbor

O responsável pelo Portal AuAu aprovou um compromisso de safe harbor para pesquisa de boa-fé que siga esta política e se limite aos ativos sob controle do Portal. O Portal não buscará medidas legais contra pesquisadores por atividades autorizadas por esta política. Esse compromisso não concede autorização para testar serviços de terceiros, não cobre ações fora do escopo e não substitui leis ou permissões exigidas por outros titulares.

Se você não tiver certeza de que um teste é permitido, não o execute. Aguarde o canal técnico ser ativado para combinar o procedimento com o Portal.