Política de Cibersegurança
DropBG (dropbg.io) • Divulgação Coordenada de Vulnerabilidades
Política
Agradecemos seu interesse em nos ajudar a melhorar nossa segurança. Por favor, siga as regras abaixo para mitigar qualquer risco de implicações legais.
Diretrizes de Divulgação Coordenada de Vulnerabilidades
- Evite o compartilhamento não autorizado. Durante o processo de divulgação coordenada, discuta a vulnerabilidade apenas com o fornecedor afetado, o proprietário do sistema e conosco.
- Dê tempo para a correção. Aguarde para divulgar publicamente a vulnerabilidade até que as partes afetadas tenham tido tempo suficiente para corrigi-la, ou até que você e todas as partes — incluindo o DropBG — tenham chegado a um acordo de divulgação.
- Mantenha as interações no mínimo. Depois de relatar uma vulnerabilidade, não interaja novamente com o sistema afetado durante o processo de divulgação coordenada.
- Limite seu escopo. Ao demonstrar uma prova de conceito, execute apenas as ações mínimas necessárias. Não baixe, modifique nem exclua dados além do estritamente necessário.
- Não exceda seu acesso. Evite elevar privilégios ou explorar um sistema além do mínimo necessário para sua prova de conceito. Use apenas suas próprias contas para testes e nunca extraia dados de outros usuários.
- Use métodos éticos. Não utilize técnicas de força bruta ou engenharia social para obter acesso a um sistema.
- Evite ações maliciosas. Não realize ataques de negação de serviço nem instale malware ou vírus.
- Forneça os endereços IP. Sempre que possível, inclua os endereços IP utilizados durante a sua descoberta. Isso nos ajuda a avaliar possíveis explorações e reduzir alertas de falsos positivos.
- Comunique seus planos. Se você pretende divulgar publicamente suas descobertas, por exemplo, em uma palestra ou artigo, avise-nos com antecedência.
O que esperar do nosso programa CVD
- Proteções Legais. Desde que você siga nossas diretrizes, aja de boa-fé e não tenha intenção maliciosa, não sofrerá nenhuma ação civil ou criminal de nossa parte por relatar uma vulnerabilidade.
- Confidencialidade e Anonimato. Seu relatório será tratado como confidencial. Você pode optar por permanecer anônimo, e não compartilharemos seus dados pessoais com terceiros sem o seu consentimento explícito.
- Reconhecimento. Teremos prazer em creditar seu nome ou apelido como autor do relato da vulnerabilidade assim que o problema for resolvido.
- Resposta Ágil. Você receberá uma confirmação do seu relatório em até 3 dias úteis, e faremos a triagem do problema em até 5 dias úteis.
- Comunicação. Manteremos você informado sobre o andamento da correção da vulnerabilidade e, no caso de uma publicação CVE, coordenaremos a divulgação com todas as partes envolvidas.
- Reconhecimento no Mural da Fama. Somos um projeto independente e não oferecemos recompensas financeiras (bug bounties). Em reconhecimento à sua contribuição, teremos prazer em destacar seu nome ou perfil em nosso Mural da Fama de Segurança público (a menos que prefira permanecer anônimo).
Para relatar uma vulnerabilidade, envie um e-mail para dropna@pm.me. Nosso arquivo de segurança RFC 9116 está disponível em /.well-known/security.txt.
Última modificação em 29 de setembro de 2026