--- title: "Política de divulgação de vulnerabilidades | Chargezen" description: "Saiba como relatar uma vulnerabilidade de segurança ao Chargezen e consulte o processo de divulgação responsável." url: "https://chargezen.com/pt-br/vulnerability-disclosure" lang: "pt-BR" --- Canonical URL: https://chargezen.com/pt-br/vulnerability-disclosure Segurança # Política de divulgação de vulnerabilidades ## O Chargezen convida pesquisadores de segurança a divulgar vulnerabilidades de forma responsável. Temos o compromisso de trabalhar com a comunidade de segurança para proteger os clientes. Vigente desde: 4 de janeiro de 2026 Programa de recompensas ativo ### Relatar uma vulnerabilidade Encontrou um problema de segurança? Relate-o de forma responsável. Agradecemos sua ajuda para manter o Chargezen seguro. E-mail (preferencial) [security@chargezen.com](mailto:security@chargezen.com) Chave PGP disponível mediante solicitação Tempo de resposta esperado 24 horas Problemas críticos: no mesmo dia útil ### Dentro do escopo * chargezen.com e todos os subdomínios * admin.chargezen.com (painel do lojista) * api.chargezen.com (APIs REST e GraphQL) * Aplicativos móveis do Chargezen (iOS, Android) * Extensões de navegador do Chargezen * Projetos de código aberto em github.com/chargezen ### Fora do escopo * Serviços e integrações de terceiros * Contas ou dispositivos pessoais de funcionários do Chargezen * Ataques à segurança física ou de engenharia social * Ataques de negação de serviço (DoS/DDoS) * Spam ou engenharia social * Vulnerabilidades já relatadas * Problemas que exigem acesso físico aos dispositivos ## Recompensas por vulnerabilidades As recompensas são determinadas pela gravidade, pelo impacto e pela qualidade do relatório. ### Crítica Execução remota de código, injeção de SQL, evasão de autenticação, violação de dados US$5.000 - US$15.000 Exemplos: RCE em servidores de produção SQLi que expõe dados de clientes Evasão de autenticação para acesso administrativo ### Alta Exposição significativa de dados, escalada de privilégios, XSS armazenado com impacto US$1.000 - US$5.000 Exemplos: XSS armazenado que afeta outros usuários IDOR que expõe dados sensíveis Escalada de privilégios ### Média Exposição limitada de dados, CSRF, XSS refletido, divulgação de informações US$250 - US$1.000 Exemplos: XSS refletido CSRF em ações que alteram o estado Informações sensíveis nas respostas ### Baixa Pequenos problemas, violações de boas práticas, divulgação de informações com baixo impacto US$50 - US$250 Exemplos: Cabeçalhos de segurança ausentes Mensagens de erro excessivamente detalhadas Pequena divulgação de informações ### Diretrizes de divulgação responsável #### O que pedimos a você * Forneça relatórios detalhados com etapas para reproduzir o problema * Dê um prazo razoável para corrigirmos os problemas antes da divulgação (90 dias) * Não acesse, modifique ou exclua dados de outras pessoas * Não realize ataques que prejudiquem o serviço (DoS) * Não use ferramentas automatizadas de varredura sem coordenação * Aja de boa-fé para evitar violações de privacidade #### O que prometemos * Responder aos relatórios em até 24 horas * Trabalhar com você para entender e validar os problemas * Manter você informado sobre o andamento da correção * Não tomar medidas legais por pesquisas de boa-fé * Reconhecer pesquisadores publicamente (com autorização) * Pagar as recompensas prontamente após a validação ### O que incluir no relatório Relatórios de alta qualidade ajudam a corrigir problemas mais rápido e podem resultar em recompensas maiores. 1 Tipo de vulnerabilidade Classificação (XSS, SQLi, IDOR etc.) 2 URL ou endpoint afetado Local específico da vulnerabilidade 3 Etapas para reproduzir Etapas claras e numeradas que qualquer pessoa possa seguir 4 Prova de conceito Capturas de tela, vídeos ou código que demonstrem o problema 5 Avaliação de impacto Impacto potencial se explorado por um invasor 6 Correção sugerida Recomendações opcionais, mas bem-vindas ### Proteção jurídica Quando a pesquisa de segurança é conduzida de acordo com esta política, consideramos que ela é: * **Autorizada:** não moveremos ações civis ou criminais contra pesquisadores que ajam de boa-fé. * **Lícita:** trabalharemos com você para entender e resolver os problemas rapidamente e não apresentaremos denúncias contra pesquisadores que cumpram esta política. * **Útil:** coordenaremos a divulgação com você e daremos o devido crédito (se desejar) quando publicarmos correções. ## Pronto para relatar? Ajude a manter o Chargezen seguro. Envie seu relatório de vulnerabilidade e entre para nosso mural de reconhecimento em segurança. [Relatar vulnerabilidade](mailto:security@chargezen.com) [Visão geral de segurança](https://chargezen.com/pt-br/security)