Política de Segurança e Divulgação Responsável

Segurança é o nosso produto, por isso recebemos de bom grado relatos de pesquisadores que encontram uma falha na HackGrade. Esta página explica como relatá-la e o que prometemos em troca.

1. Como relatar

Escreva para support@hackgrade.com com uma descrição do problema, os passos para reproduzi-lo, a URL afetada e o impacto que você acredita que ele tem. Não inclua dados pessoais de outras pessoas. Nossos dados de contato também estão publicados em formato legível por máquina em /.well-known/security.txt.

2. Dentro do escopo

• Este site e sua API: hackgrade.com (incl. www.hackgrade.com), hackgrade.185-202-223-42.sslip.io e qualquer domínio que publicarmos como nosso.
• O comportamento do nosso scanner, por exemplo uma análise que sai do domínio verificado ou excede os limites publicados.

3. Fora do escopo

• Os sites dos nossos clientes. Relate esses problemas ao proprietário do site, não a nós.
• Serviços de terceiros que usamos (hospedagem, pagamentos, e-mail). Relate diretamente a eles.
• Negação de serviço, testes de carga, spam, engenharia social contra funcionários ou usuários e ataques físicos.
• Relatórios de ferramentas automáticas sem impacto demonstrado, cabeçalhos de boas práticas ausentes sem risco real e self-XSS.

4. Regras para testar

• Use apenas contas que você mesmo criou e não acesse, altere nem exclua dados de outros usuários. Se chegar por acidente aos dados de outra pessoa, pare, não os guarde e nos avise.
• Não execute análises profundas de sites que não são seus por meio do nosso Serviço para testá-lo.
• Mantenha um volume baixo de testes e pare se notar degradação.
• Dê-nos um prazo razoável para corrigir (buscamos 90 dias, menos para problemas graves) antes de publicar qualquer coisa, e coordene a publicação conosco.

5. Nosso compromisso (safe harbor)

Se você agir de boa-fé e seguir esta política, consideraremos sua pesquisa autorizada, não tomaremos medidas judiciais contra você nem o denunciaremos às autoridades por ela e, se um terceiro agir contra você por isso, deixaremos claro que sua pesquisa estava autorizada. Confirmaremos o recebimento em até 3 dias úteis, manteremos você informado e daremos crédito público se você quiser. No momento não pagamos recompensas (bug bounty).

Este safe harbor cobre apenas os sistemas da HackGrade. Ele não pode autorizar testes nos sistemas de terceiros.