Segurança
Comunicar uma vulnerabilidade de segurança
Se encontrou uma falha no euphile.eu ou num dos produtos da plataforma, informe-nos. Lemos todos os relatórios, respondemos a todas as pessoas que nos escrevem e reconhecemos publicamente o seu contributo quando o problema for corrigido.
O seu relatório
Os campos assinalados com * são obrigatórios. Se possível, escreva em inglês. Também lemos relatórios em todas as línguas da UE.
As regras
O que pode testar
- O euphile.eu e todos os serviços sob euphile.eu: as aplicações, as consolas de administração e as API.
- Os dez produtos da plataforma, incluindo as respetivas aplicações de ambiente de trabalho e suplementos, na versão mais recente publicada.
- Qualquer outro sistema que operemos e que contenha dados de clientes.
O que está fora do âmbito
- Serviços operados por terceiros que nós apenas utilizamos. Comunique esses problemas ao respetivo proprietário.
- Negação de serviço, testes de carga e qualquer teste que torne o serviço mais lento ou o interrompa para outras pessoas.
- Engenharia social, phishing e ataques físicos contra o nosso pessoal, os nossos clientes ou os nossos escritórios.
- Resultados de scanners automáticos sem um impacto demonstrado e explorável.
- Ausência de cabeçalhos de segurança, de atributos de cookies ou de registos de autenticação de e-mail, a menos que demonstre um ataque concreto.
- Self-XSS, clickjacking em páginas sem ações sensíveis e divulgação de versões de software.
- Prompts que levam um modelo de IA a dizer algo indesejado, a menos que ultrapassem uma fronteira de segurança: os dados de outro cliente, um segredo ou uma ação que o utilizador não está autorizado a realizar.
Como testar
- Utilize apenas contas que lhe pertençam, ou contas cujo titular lhe tenha dado autorização por escrito.
- Se aceder a dados que não são seus, pare. Não os copie, não os guarde nem os partilhe, e refira-o no seu relatório.
- Faça apenas o necessário para provar o problema: sem alterações nem eliminações, sem persistência e sem movimentação para outros sistemas.
- Mantenha o tráfego automatizado abaixo de 5 pedidos por segundo.
- Não partilhe os detalhes com ninguém até termos lançado uma correção, ou até 90 dias após o seu relatório, consoante o que ocorrer primeiro. Podemos acordar juntos outra data.
- Não peça pagamento em troca da não divulgação. Isso é extorsão, não investigação.
Os nossos compromissos
- Confirmamos a receção no prazo de 2 dias úteis.
- Enviamos uma primeira avaliação, com a nossa classificação da gravidade, no prazo de 5 dias úteis.
- Damos-lhe notícias pelo menos uma vez por mês até o problema estar resolvido.
- Comunicamos-lhe quando a correção é lançada e acordamos consigo a data de publicação do aviso.
- Com o seu consentimento, mencionamos o seu nome no aviso e nos agradecimentos.
Proteção jurídica
- Se agir de boa-fé e cumprir estas regras, consideramos a sua investigação autorizada. Não intentaremos qualquer ação judicial contra si por essa investigação, nem apoiaremos quem o faça.
- Se um terceiro intentar uma ação contra si por uma investigação que cumpriu estas regras, tornaremos público que a sua investigação estava autorizada.
- Isto aplica-se aos sistemas que detemos e operamos. Não podemos autorizar testes em sistemas que pertencem a terceiros.
Recompensas
- Com o seu consentimento, todos os relatórios válidos são reconhecidos publicamente.
- Por uma descoberta original de gravidade elevada ou crítica, podemos oferecer uma recompensa financeira. Decidimos se a oferecemos, e qual o seu montante, com base no impacto e na qualidade do relatório. A recompensa não é garantida.
- Quando várias pessoas comunicam o mesmo problema, conta o primeiro relatório completo.
- Não podemos pagar uma recompensa quando a lei o proíbe, nem a quem tenha violado estas regras.