Português
Deutsch
English
Español
Français
Italiano
Русский
العربية
हिन्दी
日本語
简体中文
Android
iOS
Mac
Windows
Relato
Envie um e-mail para . Descreva o ativo afetado, as etapas para reproduzir a vulnerabilidade e uma avaliação realista do impacto. Quanto mais precisas forem as informações, mais rápido poderemos analisá-las.
Programa de divulgação de vulnerabilidades Encontrou uma vulnerabilidade?
Encontrou uma vulnerabilidade?
Avise-nos primeiro.
Analisamos todos os relatos confiáveis. O Hall da Fama vem em primeiro lugar; um pagamento voluntário de reconhecimento pode ser considerado caso a caso.
Nossa abordagem
Segurança é trabalho em equipe.
Pesquisadores de segurança não são adversários. Muitas vezes, são os primeiros a identificar vulnerabilidades reais. Tratamos você com respeito: respostas sinceras, condições claras e reconhecimento justo. Este é um programa de divulgação de vulnerabilidades com possibilidade de reconhecimento no Hall da Fama e de pequenos pagamentos opcionais de reconhecimento, após análise individual. Não é um programa tradicional de bug bounty com pagamentos fixos ou garantidos.
A Apple menciona nominalmente nosso fundador Chris Bohn em uma atualização oficial de segurança por ter relatado uma vulnerabilidade no kernel do OS X (CVE-2013-1029). Sabemos por experiência própria quanto trabalho um bom relato exige e como é importante receber um tratamento justo. Fonte: support.apple.com/en-us/103517
Como funciona Etapa 01 Etapa 02 Etapa 03
Três etapas até a correção.
Sem burocracia. Sem formulários. Sem processos obscuros.
Triagem
Analisamos relatos confiáveis e geralmente respondemos em poucos dias úteis. Se houver atrasos, manteremos você informado.
Correção & reconhecimento
Priorizamos as correções de acordo com a gravidade. Descobertas validadas que atendam aos requisitos podem ser reconhecidas no nosso Hall da Fama. Quando aplicável, avaliamos a coordenação de CVE para vulnerabilidades em produtos.
RFC 9116
security.txt
Está usando um scanner ou consultando /.well-known/security.txt? Você nos encontrou na hora.
# https://www.protectstar.com/.well-known/security.txt Contact: mailto:security@protectstar.com Encryption: https://www.protectstar.com/security/pgp.asc Policy: https://www.protectstar.com/security Acknowledgments: https://www.protectstar.com/security/acknowledgments Preferred-Languages: en, de Canonical: https://www.protectstar.com/.well-known/security.txt Canonical: https://protectstar.com/.well-known/security.txt Expires: 2027-05-19T23:59:59Z
Escopo
O que está no escopo.
Começamos com um escopo propositalmente restrito para que nossa equipe possa analisar cada relato a fundo. Relatos sobre aplicativos e APIs são bem-vindos, mas serão analisados caso a caso.
Dentro do escopo
- www.protectstar.com & protectstar.com Áreas públicas do site operadas pela própria Protectstar
- Mecanismos de integridade de atualizações e downloads documentados publicamente Assinaturas e hashes na infraestrutura da Protectstar
- Metadados publicados de integridade de arquivos Publicados em protectstar.com
- Subdomínios adicionais Somente quando explicitamente listados ou confirmados por nós por escrito
Fora do escopo
- Sistemas & serviços de terceiros Provedores de lojas e pagamentos, lojas de aplicativos, CDN/hospedagem, mecanismos externos, SDKs e serviços de parceiros
- APIs, servidores de licenciamento/ativação e sistemas internos que não tenham sido explicitamente confirmados
- Engenharia social & phishing Direcionados a funcionários, suporte ou parceiros
- DoS / DDoS / testes com alto volume de requisições
- Ataques físicos
- Self-XSS e ausência de cabeçalhos recomendados pelas boas práticas, sem impacto
- Versões beta / TestFlight / de pré-lançamento
Aplicativos, APIs de backend, software para desktop: Relatos são bem-vindos, mas não estão automaticamente no escopo nem são automaticamente elegíveis a reconhecimento. Analisamos cada relato individualmente.
Safe Harbor
Pesquise de boa-fé. Você será tratado com justiça.
Se você realizar pesquisas de segurança de boa-fé, de acordo com esta política e exclusivamente em ativos explicitamente incluídos no escopo ou confirmados por nós por escrito, consideramos essas pesquisas autorizadas. A Protectstar não iniciará nem apoiará ações judiciais em razão dessas pesquisas, na medida em que as respectivas pretensões estejam sob nosso controle.
Requisitos
- Nenhuma exploração além do necessário para demonstrar a vulnerabilidade
- Nenhuma divulgação da vulnerabilidade a terceiros antes da correção
- Nenhuma exfiltração, modificação, exclusão, armazenamento ou compartilhamento de dados que não pertençam a você. Use contas de teste sempre que possível
- Nenhuma publicação ou divulgação sem coordenação prévia e aprovação por escrito; 90 dias são nossa referência, não uma autorização automática
- Nenhuma interrupção intencional de serviços ou destruição de dados
- Cumprimento das leis aplicáveis a você, à sua pesquisa e aos sistemas afetados
Se você visualizar acidentalmente dados que não pertençam a você, pare imediatamente. Não volte a acessar esses dados e não os copie, modifique, exclua ou compartilhe. Relate apenas as informações mínimas necessárias para a verificação. Este compromisso se aplica exclusivamente às pretensões sob o controle da Protectstar e não autoriza nenhuma conduta proibida por lei. Ele não abrange atividades contra sistemas, serviços, redes ou dados de terceiros e não impede ações independentes de terceiros. Na dúvida, pergunte antes, não depois.
Reconhecimento
Hall da Fama em primeiro lugar. Pequenos pagamentos de reconhecimento caso a caso.
A Protectstar não opera um programa tradicional de bug bounty com pagamentos fixos ou garantidos. Nosso foco é a análise justa, a correção coordenada e a possibilidade de reconhecimento no Hall da Fama para relatos que atendam aos nossos requisitos. Além disso, a Protectstar pode, a seu exclusivo critério, oferecer um pequeno pagamento voluntário de reconhecimento por relatos especialmente úteis, validados, sobre vulnerabilidades até então desconhecidas e dentro do escopo. Não há direito a pagamento; qualquer decisão sobre a concessão de um pagamento e seu valor só é tomada após a validação do relatório técnico completo.
Requisitos para possível reconhecimento no Hall da Fama
- Válida e documentada de forma reproduzível
- Até então desconhecida e que ainda não esteja em análise interna
- Dentro do escopo das áreas listadas acima
- Relatada primeiro (vale o primeiro pesquisador a relatar)
- Relatada sem violar esta política
- Materialmente relevante para a segurança da Protectstar ou de nossos usuários
- Sem ameaças ou exigências de pagamento antes, durante ou após o relato
Classificação de gravidade
A gravidade influencia a prioridade da correção e o possível reconhecimento. O Hall da Fama continua sendo nossa principal forma de reconhecimento.
| Gravidade | Exemplos comuns | Possível reconhecimento |
|---|---|---|
| Crítica | Execução remota de código, bypass de autenticação, vazamento de dados em larga escala, comprometimento da integridade de atualizações | Hall da Fama; um pequeno pagamento voluntário de reconhecimento pode ser considerado após análise individual |
| Alta | Escalada de privilégios, fragilidades criptográficas com impacto, tomada de controle de conta | Hall da Fama; um pequeno pagamento voluntário de reconhecimento pode ser considerado após análise individual |
| Média | XSS armazenado, IDOR com impacto demonstrável, problemas de sessão | Hall da Fama; um pequeno pagamento opcional de reconhecimento pode ser considerado quando houver impacto claro e reproduzível |
| Baixa | XSS refletido com impacto limitado, divulgação de informações sem consequências | Geralmente, Hall da Fama ou agradecimento; reconhecimento financeiro apenas em casos excepcionais |
A gravidade é avaliada usando CVSS 4.0 ou CVSS 3.1 como referência. A avaliação final cabe à Protectstar; podemos explicar por escrito eventuais divergências de avaliação, mediante solicitação. Não negociamos valores antes de receber e validar o relatório técnico completo.
Tempos de resposta
Nossos prazos-alvo.
Somos uma equipe enxuta, não um SOC disponível 24 horas por dia, 7 dias por semana. Estes prazos são nossas metas. Se houver atrasos, avisaremos você.
3 dias úteis Confirmação de recebimento (meta)
10 dias úteis Triagem técnica inicial (meta)
90 dias Divulgação coordenada (meta)
Criptografia
Chave PGP.
Para detalhes sensíveis sobre vulnerabilidades, você pode criptografar seu relatório.
Impressão digital
B8DB 47D7 DBE5 DD63 7C65 80E0 3513 CE31 BD10 B7AD
ID da chave
0x3513CE31BD10B7AD
Identidade
PROTECTSTAR Support Hero
< >
< >
Esta chave está atualmente associada a e autorizada pela Protectstar para comunicação criptografada com .
Baixar chaveHall da Fama
Quem nos ajudou.
Pesquisadores de segurança que utilizaram nosso programa de forma responsável e ajudaram a tornar nossos produtos mais seguros.
- Ahmed Raza Nasir NursumarIndiaIntegridade dos links de redes sociais
- Sakar BhandariNepalEnumeração de contas pelo cadastro Tratamento de erros da API do site
- Samrat AnandIndiaPrivacidade da inscrição na newsletter Tratamento de erros da API do site
- Pathan AslamIndiaMY.PROTECTSTAR: validação da data de nascimento
- Soham D. JadhavIndiaSegurança de sessões do MY.PROTECTSTAR
- Tom JijiIndiaProteção contra abuso na recuperação de conta
- Pradyumn Tiwari (Nexus)IndiaNotificação de segurança da conta Prevenção de abuso de links de download
- Sardar ZabiPakistanDivulgação coordenada
- Aditya SinghIndiaConfiguração incorreta de segurança
- Peter LevashovSeveradao Security LLCDivulgação coordenada via VDP
Seu nome pode ser o próximo.
Encontrou uma vulnerabilidade? Avise-nos primeiro.
Relatar uma vulnerabilidadeMediante solicitação, seu nome civil ou um pseudônimo será usado na listagem. Quando aplicável, avaliamos a coordenação de CVE para vulnerabilidades em produtos por meio de uma CNA apropriada.
Perguntas frequentes
Antes de perguntar.
Pesquisar de boa-fé significa seguir esta política, demonstrar uma vulnerabilidade sem explorá-la além do necessário, relatá-la primeiro a nós e nos dar tempo para corrigi-la. O Safe Harbor deixa de se aplicar se você ultrapassar esse limite, exfiltrar dados de usuários ou reter detalhes técnicos para exigir pagamento.
Não automaticamente. A Protectstar não opera um programa tradicional de bug bounty com pagamentos fixos ou garantidos. O Hall da Fama é nossa principal forma de reconhecimento. Para relatos especialmente úteis, validados, sobre vulnerabilidades até então desconhecidas e dentro do escopo, podemos oferecer um pequeno pagamento voluntário de reconhecimento a nosso exclusivo critério. Não negociamos recompensas antes de receber e validar o relatório técnico completo.
Aceitamos relatos anônimos e damos a eles o mesmo tratamento técnico. Mediante solicitação, incluiremos você no Hall da Fama sob um pseudônimo, desde que os requisitos sejam atendidos.
Usamos CVSS 4.0 ou CVSS 3.1 como referência e complementamos a avaliação com fatores de impacto da sua demonstração. A avaliação final cabe à Protectstar. Se nossa avaliação for diferente da sua, podemos explicá-la mediante solicitação.
Quando aplicável, avaliamos a coordenação de CVE para vulnerabilidades em produtos por meio de uma CNA apropriada ou de outro canal adequado. Um ID CVE não é garantido e depende das regras de CVE da CNA.
Sim, mas apenas de forma não invasiva, com taxa de requisições limitada e em ativos explicitamente incluídos no escopo. Ferramentas agressivas, altas taxas de requisições ou testes que possam afetar a disponibilidade para outros usuários não são permitidos. Resultados brutos de scanners sem impacto verificado, como cabeçalhos ausentes, observações sobre TLS ou divulgação de versões, não são elegíveis a reconhecimento. Na dúvida, pergunte antes.
Vale o primeiro pesquisador a relatar. Se uma vulnerabilidade já for conhecida internamente ou já tiver sido relatada, ela não será elegível a reconhecimento. Informaremos você o mais cedo possível.
Relatos sobre aplicativos e APIs da Protectstar são bem-vindos. Nesta primeira fase, porém, são analisados caso a caso e não são automaticamente elegíveis a reconhecimento, a menos que o ativo afetado esteja explicitamente listado acima ou tenha sido confirmado por nós por escrito. Mesmo assim, envie seu relato.
Envie seu relato.
Analisamos relatos confiáveis e geralmente respondemos em poucos dias úteis.
PGP disponível · security.txt em conformidade com a RFC 9116 · Safe Harbor para pesquisas de boa-fé