Onde reportar
Escreva para fragorstudios@gmail.com com a palavra Segurança no assunto. É a caixa de sempre e quem lê é uma pessoa.
Se o relato envolver dados sensíveis, diga isso na primeira mensagem sem anexar nada: combinamos um canal criptografado antes de você enviar. [Chave PGP a publicar]
O que incluir no relato
O endereço exato ou a parte do site afetada.
Os passos para reproduzir, em ordem. Uma captura de tela ou um vídeo curto valem mais que três parágrafos.
O que a falha permite fazer: ler dados de outras pessoas, executar código, contornar um controle.
O navegador e o sistema em que você testou, com a data e a hora aproximadas.
Como quer ser creditado se publicarmos um agradecimento, ou se prefere ficar anônimo.
O que prometemos a você
Confirmamos o recebimento em até 72 horas. Se passarem três dias sem resposta, insista: a mensagem se perdeu.
Depois contamos o que encontramos ao revisar, se vamos corrigir e em qual prazo estimado.
Não vamos iniciar ações legais nem pedir sanções contra quem pesquisar de boa-fé e respeitar esta política. Boa-fé significa não tocar em dados de terceiros além do mínimo para demonstrar a falha, não apagar nem modificar nada, não interromper o serviço e não publicar o detalhe antes da correção.
Pedimos noventa dias para corrigir antes de você tornar o caso público. Se precisarmos de mais, avisamos e conversamos.
O que está fora do escopo
Ataques de negação de serviço, testes de carga e qualquer coisa que degrade o serviço para os outros.
Engenharia social contra nós, contra clientes ou contra fornecedores, e campanhas de phishing.
Spam, envio massivo de mensagens e abuso da caixa de contato.
Acesso físico a equipamentos e ataques que exijam uma máquina já comprometida ou um navegador sem atualizar há anos.
Saídas de scanner automático sem impacto demonstrado: falta de um cabeçalho, uma biblioteca uma versão atrás, ausência de SPF num domínio que não envia e-mail. Se você tem um caso concreto que aproveita isso, conte esse caso.
Sites de clientes que não administramos. Escreva ao dono do site; se nos avisar, fazemos a ponte.
Recompensas e reconhecimento
Não temos programa de recompensas. Somos um estúdio pequeno e não podemos pagar por relatos: preferimos dizer isso de frente a fazer você perder tempo.
O que fazemos é agradecer publicamente, com o seu nome e um link, se você quiser. Se preferir não aparecer, não aparece.
Mudanças e dúvidas
Esta política pode mudar; a data acima diz quando mudou pela última vez. É um compromisso escrito sobre como vamos tratar o seu relato, não um contrato nem orientação jurídica.
Se tiver dúvida sobre o escopo, pergunte antes de testar: fragorstudios@gmail.com.