Divulgación responsable

3. Alcance

Están en el alcance los sistemas públicos operados por Nocera Information Security ME®:

• el sitio nocerainfosec.com.br y sus subdominios;
• el formulario de contacto y las herramientas publicadas en el sitio, como el Pentest Scope Builder.

Los sistemas de clientes, de socios y de terceros (incluidos los proveedores de alojamiento, correo y antirrobot que usamos) no están en el alcance. Las vulnerabilidades en esos sistemas deben reportarse directamente a sus responsables.

4. Qué nos interesa

Vulnerabilidades con impacto real en la confidencialidad, la integridad o la disponibilidad de los sistemas en el alcance, por ejemplo:

• ejecución remota de código e inyección (SQL, comandos, plantillas);
• cross-site scripting (XSS) almacenado o reflejado que funcione sin interacción inusual de la víctima;
• server-side request forgery (SSRF), lectura de archivos y traversal de directorios;
• fallas de autenticación o de control de acceso;
• exposición de datos personales, credenciales o secretos;
• evasión de la verificación antirrobot o abuso del formulario de contacto para enviar mensajes en nombre de terceros;
• evasiones de la política de seguridad de contenido (CSP) que permitan ejecutar código en el sitio.

5. Qué no consideramos una vulnerabilidad

Para poder atender a lo que importa, los siguientes puntos no se aceptan como reporte, salvo que usted demuestre un impacto concreto:

• resultados de scanners automáticos sin validación manual;
• ausencia de encabezados o configuraciones consideradas buenas prácticas, sin un ataque demostrable;
• clickjacking en páginas sin acciones sensibles;
• configuraciones de SPF, DKIM o DMARC del correo;
• versiones de software, banners y mensajes de error sin datos sensibles;
• self-XSS y ataques que requieren acceso físico o al navegador de la propia víctima;
• ausencia de límite de solicitudes en páginas sin acciones sensibles;
• suites y configuraciones de TLS sin ataque práctico;
• enlaces rotos, problemas de contenido, ortografía o compatibilidad de navegador.

6. Qué no se puede probar

• denegación de servicio (DoS o DDoS) y pruebas que degraden la disponibilidad de los sistemas;
• ingeniería social contra personas de Nocera, de clientes o de socios (phishing, vishing, smishing);
• acceso físico a instalaciones o equipos;
• envío automatizado masivo por el formulario de contacto o spam;
• acceso, modificación, copia o eliminación de datos que no le pertenezcan, más allá del mínimo necesario para demostrar el problema.

7. Qué esperamos de usted

• actuar de buena fe y detener la prueba tan pronto como confirme la vulnerabilidad;
• no divulgar la vulnerabilidad públicamente antes de que se corrija, o antes de que acordemos una fecha;
• no explotar el fallo más allá de lo necesario, ni mantener acceso a los sistemas;
• eliminar de forma segura cualquier dato obtenido durante la prueba.

8. Qué puede esperar de Nocera

• confirmación de recepción del reporte;
• análisis técnico y comunicación sobre el avance hasta la corrección;
• acuerdo conjunto de la fecha de divulgación pública, si usted desea publicar la investigación;
• tratamiento confidencial de sus datos y del contenido del reporte.

No ofrecemos recompensa financiera (bug bounty). Si lo desea, reconocemos públicamente su contribución después de la corrección, con el nombre o apodo que indique.

9. Protección para quien actúa de buena fe

No tomaremos medidas legales contra quien investigue y reporte vulnerabilidades conforme a esta política. Si una persona o empresa tercera inicia una acción en su contra por una actividad realizada en conformidad con esta política, dejaremos claro que fue autorizada por nosotros.

Nocera Information Security ME®, CNPJ 24.305.640/0001-78. Esta política complementa los Términos de Servicio y la Política de Privacidad. Archivo de contacto para investigadores: security.txt.