Segurança

Política de Disclosure Responsável

A segurança dos nossos usuários é prioridade. Pesquisadores que reportarem vulnerabilidades de forma responsável serão tratados como parceiros.

Última atualização: 15 de abril de 2026

A segurança dos nossos usuários é prioridade. Pesquisadores que reportarem vulnerabilidades de forma responsável serão tratados como parceiros.

Como reportar

Envie um e-mail para [email protected] com o assunto começando por [SECURITY].

Inclua: descrição da vulnerabilidade, passos detalhados para reproduzir, prova de conceito (PoC), impacto estimado e, se possível, sugestão de correção.

Se a informação for sensível, use a chave PGP publicada em /.well-known/pgp-key.txt.

Prazo (Safe Harbor)

Confirmamos o recebimento em até 48 horas e damos um primeiro parecer em até 5 dias úteis.

Comprometemo-nos a corrigir vulnerabilidades válidas em até 90 dias antes de qualquer divulgação pública. Em casos de vulnerabilidades críticas com exploração ativa, podemos pedir prazo adicional, sempre com comunicação transparente.

Pesquisadores que seguirem esta política não terão ações legais movidas contra eles em relação ao reporte.

Recompensas

No momento NÃO operamos um programa de bug bounty pago.

Como reconhecimento, oferecemos: agradecimento público no Hall of Fame (/security/hall-of-fame), menção em release notes, e brindes (swag) para reports de alto impacto.

Conforme o produto cresce, pretendemos lançar um programa formal de recompensas. Pesquisadores recorrentes terão prioridade.

Escopo (in-scope)

api.firmo90.com (Backend Node.js / Express)
admin.firmo90.com (Painel administrativo)
firmo90.com e www.firmo90.com (Site institucional)
Aplicativo Android (com.firmo90.app) e iOS quando publicado
Subdomínios *.firmo90.com de produção

Fora de escopo (out-of-scope)

Ataques de Negação de Serviço (DDoS, volumetric, application-layer)
Engenharia social contra funcionários, contratados ou usuários
Acesso físico a equipamentos, escritório ou data center
Spam, phishing ou abuso de formulários públicos
Vulnerabilidades em dependências de terceiros sem PoC explorável no Firmo90
Reports automatizados de scanners (Nessus, OWASP ZAP, etc.) sem validação manual
Issues de configuração de e-mail (SPF/DKIM/DMARC) sem PoC de spoofing efetivo
Best-practices sem impacto demonstrado (ex.: ausência de header X de baixa criticidade)
Brute-force / credential stuffing sem comprovar bypass de rate limit

Regras de teste

NÃO acessar dados de outros usuários além do mínimo necessário para confirmar a falha
NÃO modificar, deletar ou exfiltrar dados de produção
NÃO realizar testes de carga ou stress que afetem usuários reais
Usar contas de teste criadas pelo próprio pesquisador sempre que possível
Parar o teste ao confirmar a vulnerabilidade e reportar imediatamente

O que NÃO fazer

Divulgação pública antes da correção (zero-day público) anula o safe harbor.

Tentar extorquir a empresa em troca de não publicar a falha é tratado como crime conforme o Código Penal Brasileiro.

Contato

[email protected] — vulnerabilidades técnicas

[email protected] — questões de privacidade / LGPD (Art. 41)