Agradecemos as comunicações de investigadores de segurança, clientes e qualquer outra pessoa que encontre uma vulnerabilidade num serviço da Syott. Esta política explica como comunicar uma vulnerabilidade à Syott Limited ("Syott"), o que está abrangido e o que pode esperar de nós. Segue os princípios da nossa Política de Divulgação Responsável.
Como comunicar
Envie um email para security@syott.co. Preferimos comunicações em inglês. Inclua:
- em que consiste a vulnerabilidade e o que um atacante poderia fazer com ela;
- onde se encontra: o URL, o endpoint ou o componente afetado;
- instruções passo a passo para a reproduzir, com qualquer código de prova de conceito ou capturas de ecrã;
- quando fez os testes e os endereços IP a partir dos quais testou; e
- se pretende ser reconhecido publicamente e, em caso afirmativo, com que nome.
Não tem de nos dar o seu nome verdadeiro. Se tiver encontrado dados pessoais, inclua apenas o necessário para demonstrar o problema.
Âmbito
- syott.co e os subdomínios de syott.co geridos pela Syott; e
- as aplicações web e as APIs do Syott HR, do Syott Recruit e do Syott Company OS. Teste apenas com contas que esteja autorizado a utilizar.
Fora do âmbito
- serviços geridos por terceiros, mesmo quando surgem nas nossas páginas (como os nossos fornecedores de chat, análise ou proteção contra bots); comunique estes problemas ao respetivo fornecedor;
- ataques de negação de serviço e testes que dependam de grandes volumes de tráfego;
- engenharia social, phishing e ataques físicos contra a Syott, o nosso pessoal ou os nossos clientes;
- resultados de scanners automáticos sem um impacto demonstrado e explorável;
- ausência de cabeçalhos de segurança, atributos de cookies ou registos de autenticação de email sem um impacto demonstrado;
- self-XSS, clickjacking em páginas sem ações sensíveis e outros problemas que exijam uma interação improvável do utilizador; e
- problemas que afetem apenas navegadores desatualizados ou sem suporte.
Regras para os testes
Para se manter abrangido pelo nosso porto seguro:
- utilize apenas contas e dados que lhe pertençam ou que tenha autorização para utilizar;
- se encontrar dados de outras pessoas, pare, não os copie nem os guarde e informe-nos;
- não altere nem apague dados e não degrade os nossos serviços para outras pessoas;
- não execute ferramentas automatizadas a um ritmo que possa afetar a disponibilidade;
- dê-nos um prazo razoável para corrigir o problema antes de o divulgar, conforme descrito na nossa Política de Divulgação Responsável; e
- cumpra a lei.
O que pode esperar de nós
- Acusamos a receção da sua comunicação no prazo de 3 dias úteis.
- Dizemos-lhe se conseguimos reproduzir o problema e qual consideramos ser a sua gravidade.
- Mantemo-lo informado e avisamo-lo quando o problema estiver corrigido.
- Reconhecemos publicamente o seu contributo, se o desejar.
- Não intentaremos ações judiciais contra si por investigações de boa-fé que sigam esta política.
Recompensas
Atualmente, não temos um programa de recompensas pagas (bug bounty). Se isso mudar, atualizaremos esta página.
Contacto
security@syott.co. Os nossos contactos de segurança estão também publicados em /.well-known/security.txt.