Política de divulgação de vulnerabilidades
O Chargezen convida pesquisadores de segurança a divulgar vulnerabilidades de forma responsável. Temos o compromisso de trabalhar com a comunidade de segurança para proteger os clientes.
Relatar uma vulnerabilidade
Encontrou um problema de segurança? Relate-o de forma responsável. Agradecemos sua ajuda para manter o Chargezen seguro.
Tempo de resposta esperado
24 horas
Problemas críticos: no mesmo dia útil
Dentro do escopo
- chargezen.com e todos os subdomínios
- admin.chargezen.com (painel do lojista)
- api.chargezen.com (APIs REST e GraphQL)
- Aplicativos móveis do Chargezen (iOS, Android)
- Extensões de navegador do Chargezen
- Projetos de código aberto em github.com/chargezen
Fora do escopo
- Serviços e integrações de terceiros
- Contas ou dispositivos pessoais de funcionários do Chargezen
- Ataques à segurança física ou de engenharia social
- Ataques de negação de serviço (DoS/DDoS)
- Spam ou engenharia social
- Vulnerabilidades já relatadas
- Problemas que exigem acesso físico aos dispositivos
Recompensas por vulnerabilidades
As recompensas são determinadas pela gravidade, pelo impacto e pela qualidade do relatório.
Crítica
Execução remota de código, injeção de SQL, evasão de autenticação, violação de dados
US$5.000 - US$15.000
Exemplos:
Alta
Exposição significativa de dados, escalada de privilégios, XSS armazenado com impacto
US$1.000 - US$5.000
Exemplos:
Média
Exposição limitada de dados, CSRF, XSS refletido, divulgação de informações
US$250 - US$1.000
Exemplos:
Baixa
Pequenos problemas, violações de boas práticas, divulgação de informações com baixo impacto
US$50 - US$250
Exemplos:
Diretrizes de divulgação responsável
O que pedimos a você
- Forneça relatórios detalhados com etapas para reproduzir o problema
- Dê um prazo razoável para corrigirmos os problemas antes da divulgação (90 dias)
- Não acesse, modifique ou exclua dados de outras pessoas
- Não realize ataques que prejudiquem o serviço (DoS)
- Não use ferramentas automatizadas de varredura sem coordenação
- Aja de boa-fé para evitar violações de privacidade
O que prometemos
- Responder aos relatórios em até 24 horas
- Trabalhar com você para entender e validar os problemas
- Manter você informado sobre o andamento da correção
- Não tomar medidas legais por pesquisas de boa-fé
- Reconhecer pesquisadores publicamente (com autorização)
- Pagar as recompensas prontamente após a validação
O que incluir no relatório
Relatórios de alta qualidade ajudam a corrigir problemas mais rápido e podem resultar em recompensas maiores.
Tipo de vulnerabilidade
Classificação (XSS, SQLi, IDOR etc.)
URL ou endpoint afetado
Local específico da vulnerabilidade
Etapas para reproduzir
Etapas claras e numeradas que qualquer pessoa possa seguir
Prova de conceito
Capturas de tela, vídeos ou código que demonstrem o problema
Avaliação de impacto
Impacto potencial se explorado por um invasor
Correção sugerida
Recomendações opcionais, mas bem-vindas
Proteção jurídica
Quando a pesquisa de segurança é conduzida de acordo com esta política, consideramos que ela é:
- Autorizada: não moveremos ações civis ou criminais contra pesquisadores que ajam de boa-fé.
- Lícita: trabalharemos com você para entender e resolver os problemas rapidamente e não apresentaremos denúncias contra pesquisadores que cumpram esta política.
- Útil: coordenaremos a divulgação com você e daremos o devido crédito (se desejar) quando publicarmos correções.
Pronto para relatar?
Ajude a manter o Chargezen seguro. Envie seu relatório de vulnerabilidade e entre para nosso mural de reconhecimento em segurança.
