Divulgação Responsável

3. Escopo

Estão no escopo os sistemas públicos operados pela Nocera Information Security ME®:

• o site nocerainfosec.com.br e seus subdomínios;
• o formulário de contato e as ferramentas publicadas no site, como o Pentest Scope Builder.

Sistemas de clientes, de parceiros e de terceiros (incluindo os provedores de hospedagem, e-mail e anti-robô que usamos) não estão no escopo. Vulnerabilidades nesses sistemas devem ser reportadas diretamente aos responsáveis por eles.

4. O que nos interessa

Vulnerabilidades com impacto real na confidencialidade, integridade ou disponibilidade dos sistemas no escopo, por exemplo:

• execução remota de código e injeção (SQL, comandos, templates);
• cross-site scripting (XSS) armazenado ou refletido que funcione sem interação incomum da vítima;
• server-side request forgery (SSRF), leitura de arquivos e travessia de diretórios;
• falhas de autenticação ou de controle de acesso;
• exposição de dados pessoais, credenciais ou segredos;
• desvio da verificação anti-robô ou abuso do formulário de contato para enviar mensagens em nome de terceiros;
• contornos da política de segurança de conteúdo (CSP) que permitam executar código no site.

5. O que não consideramos vulnerabilidade

Para que a gente possa dar atenção ao que importa, os itens abaixo não são aceitos como relato, salvo se você demonstrar um impacto concreto:

• resultados de scanners automáticos sem validação manual;
• ausência de cabeçalhos ou configurações consideradas boas práticas, sem um ataque demonstrável;
• clickjacking em páginas sem ação sensível;
• configurações de SPF, DKIM ou DMARC do e-mail;
• versões de software, banners e mensagens de erro sem dados sensíveis;
• self-XSS e ataques que exigem acesso físico ou ao navegador da própria vítima;
• ausência de limite de requisições em páginas sem ação sensível;
• suítes e configurações de TLS sem ataque prático;
• links quebrados, problemas de conteúdo, ortografia ou compatibilidade de navegador.

6. O que não pode ser testado

• negação de serviço (DoS ou DDoS) e testes que degradem a disponibilidade dos sistemas;
• engenharia social contra pessoas da Nocera, de clientes ou de parceiros (phishing, vishing, smishing);
• acesso físico a instalações ou equipamentos;
• envio automatizado em massa pelo formulário de contato ou spam;
• acesso, alteração, cópia ou exclusão de dados que não sejam seus, além do mínimo necessário para demonstrar o problema.

7. O que esperamos de você

• agir de boa-fé e interromper o teste assim que confirmar a vulnerabilidade;
• não divulgar a vulnerabilidade publicamente antes de ela ser corrigida, ou antes de combinarmos uma data;
• não explorar a falha além do necessário, nem manter acesso aos sistemas;
• eliminar com segurança qualquer dado obtido durante o teste.

8. O que você pode esperar da Nocera

• confirmação de recebimento do relato;
• análise técnica e comunicação sobre o andamento até a correção;
• combinação conjunta da data de divulgação pública, se você quiser publicar a pesquisa;
• tratamento confidencial dos seus dados e do conteúdo do relato.

Não oferecemos recompensa financeira (bug bounty). Se você quiser, reconhecemos publicamente a sua contribuição depois da correção, com o nome ou apelido que indicar.

9. Proteção a quem age de boa-fé

Não tomaremos medida legal contra quem pesquisar e reportar vulnerabilidades de acordo com esta política. Se uma pessoa ou empresa terceira iniciar uma ação contra você por uma atividade feita em conformidade com esta política, deixaremos claro que ela foi autorizada por nós.

Nocera Information Security ME®, CNPJ 24.305.640/0001-78. Esta política complementa os Termos de Serviço e a Política de Privacidade. Arquivo de contato para pesquisadores: security.txt.