Política de Divulgação de Vulnerabilidades

Agradecemos as comunicações de investigadores de segurança, clientes e qualquer outra pessoa que encontre uma vulnerabilidade num serviço da Syott. Esta política explica como comunicar uma vulnerabilidade à Syott Limited ("Syott"), o que está abrangido e o que pode esperar de nós. Segue os princípios da nossa Política de Divulgação Responsável.

Como comunicar

Envie um email para security@syott.co. Preferimos comunicações em inglês. Inclua:

• em que consiste a vulnerabilidade e o que um atacante poderia fazer com ela;
• onde se encontra: o URL, o endpoint ou o componente afetado;
• instruções passo a passo para a reproduzir, com qualquer código de prova de conceito ou capturas de ecrã;
• quando fez os testes e os endereços IP a partir dos quais testou; e
• se pretende ser reconhecido publicamente e, em caso afirmativo, com que nome.

Não tem de nos dar o seu nome verdadeiro. Se tiver encontrado dados pessoais, inclua apenas o necessário para demonstrar o problema.

Âmbito

• syott.co e os subdomínios de syott.co geridos pela Syott; e
• as aplicações web e as APIs do Syott HR, do Syott Recruit e do Syott Company OS. Teste apenas com contas que esteja autorizado a utilizar.

Fora do âmbito

• serviços geridos por terceiros, mesmo quando surgem nas nossas páginas (como os nossos fornecedores de chat, análise ou proteção contra bots); comunique estes problemas ao respetivo fornecedor;
• ataques de negação de serviço e testes que dependam de grandes volumes de tráfego;
• engenharia social, phishing e ataques físicos contra a Syott, o nosso pessoal ou os nossos clientes;
• resultados de scanners automáticos sem um impacto demonstrado e explorável;
• ausência de cabeçalhos de segurança, atributos de cookies ou registos de autenticação de email sem um impacto demonstrado;
• self-XSS, clickjacking em páginas sem ações sensíveis e outros problemas que exijam uma interação improvável do utilizador; e
• problemas que afetem apenas navegadores desatualizados ou sem suporte.

Regras para os testes

Para se manter abrangido pelo nosso porto seguro:

• utilize apenas contas e dados que lhe pertençam ou que tenha autorização para utilizar;
• se encontrar dados de outras pessoas, pare, não os copie nem os guarde e informe-nos;
• não altere nem apague dados e não degrade os nossos serviços para outras pessoas;
• não execute ferramentas automatizadas a um ritmo que possa afetar a disponibilidade;
• dê-nos um prazo razoável para corrigir o problema antes de o divulgar, conforme descrito na nossa Política de Divulgação Responsável; e
• cumpra a lei.

O que pode esperar de nós

• Acusamos a receção da sua comunicação no prazo de 3 dias úteis.
• Dizemos-lhe se conseguimos reproduzir o problema e qual consideramos ser a sua gravidade.
• Mantemo-lo informado e avisamo-lo quando o problema estiver corrigido.
• Reconhecemos publicamente o seu contributo, se o desejar.
• Não intentaremos ações judiciais contra si por investigações de boa-fé que sigam esta política.

Recompensas

Atualmente, não temos um programa de recompensas pagas (bug bounty). Se isso mudar, atualizaremos esta página.

Contacto

security@syott.co. Os nossos contactos de segurança estão também publicados em /.well-known/security.txt.