Programa de Divulgação de Vulnerabilidades

Encontrou uma vulnerabilidade?
Avise-nos primeiro.

Analisamos todos os relatos confiáveis. Primeiro, a Hall of Fame; um pagamento voluntário de reconhecimento pode ser considerado caso a caso.

Mostrar chave PGP

Nossa abordagem

Segurança é trabalho em equipe.

Pesquisadores de segurança não são adversários. Muitas vezes, eles são os primeiros a identificar vulnerabilidades reais. Tratamos você com respeito: respostas honestas, termos claros e reconhecimento justo. Este é um Programa de Divulgação de Vulnerabilidades com possível reconhecimento na Hall of Fame e pequenos pagamentos opcionais de reconhecimento após análise caso a caso. Não é um programa de bug bounty tradicional com pagamentos fixos ou garantidos.

A Apple credita nosso fundador Chris Bohn nominalmente em uma atualização de segurança oficial por uma vulnerabilidade de kernel relatada no OS X (CVE-2013-1029). Sabemos em primeira mão quanto trabalho um bom relato exige e como o tratamento justo é importante. Fonte: support.apple.com/en-us/103517

Como funciona

Três etapas até a correção.

Sem burocracia. Sem formulários. Sem processo oculto.

Etapa 01

Relatar

Envie um e-mail para . Descreva o ativo, as etapas de reprodução e o impacto realista. Quanto mais preciso você for, mais rápido poderemos analisar.

Etapa 02

Triagem

Analisamos relatos confiáveis e normalmente respondemos em poucos dias úteis. Se houver atrasos, manteremos você informado.

Etapa 03

Correção & reconhecimento

As correções são priorizadas por gravidade. Achados elegíveis e validados podem receber crédito em nossa Hall of Fame. Para vulnerabilidades de produto adequadas, avaliamos a coordenação CVE.

RFC 9116

security.txt

Usando um scanner ou verificando /.well-known/security.txt? Você nos encontrou imediatamente.


# https://www.protectstar.com/.well-known/security.txt

Contact: mailto:security@protectstar.com
Encryption: https://www.protectstar.com/security/pgp.asc
Policy: https://www.protectstar.com/security
Acknowledgments: https://www.protectstar.com/security/acknowledgments
Preferred-Languages: en, de
Canonical: https://www.protectstar.com/.well-known/security.txt
Canonical: https://protectstar.com/.well-known/security.txt
Expires: 2027-05-19T23:59:59Z

Abrir arquivo ativo · Formato conforme RFC 9116

Escopo

O que está no escopo.

Estamos começando com um escopo deliberadamente restrito para que nossa equipe possa analisar cada relato com profundidade. Relatos sobre apps e APIs são bem-vindos, mas serão analisados caso a caso.

Dentro do escopo

www.protectstar.com & protectstar.com Áreas públicas do site operadas pela própria Protectstar
Mecanismos de integridade de atualização e download documentados publicamente Assinaturas e hashes na infraestrutura da Protectstar
Metadados publicados de integridade de arquivos Publicado em protectstar.com
Subdomínios adicionais Somente quando explicitamente listados ou confirmados por nós por escrito

Fora do escopo

Sistemas & serviços de terceiros Provedores de loja e pagamento, app stores, CDN/hospedagem, motores externos, SDKs e serviços de parceiros
APIs, servidores de licença/ativação e sistemas internos que não tenham sido explicitamente confirmados
Engenharia social & phishing Direcionamento a funcionários, suporte ou parceiros
Testes DoS / DDoS / de volume
Ataques físicos
Self-XSS e cabeçalhos de boas práticas ausentes sem impacto
Versões beta / TestFlight / pré-lançamento

Apps, APIs de backend, software desktop: Relatos são bem-vindos, mas não estão automaticamente no escopo nem são elegíveis para reconhecimento. Analisamos cada relato caso a caso.

Safe Harbor

Pesquise de boa-fé. Trataremos você de forma justa.

Se você conduzir pesquisa de segurança de boa-fé, dentro desta política e exclusivamente em ativos explicitamente listados como dentro do escopo ou confirmados por nós por escrito, consideraremos essa pesquisa autorizada. A Protectstar não iniciará nem apoiará ações legais por tal pesquisa na medida em que as reivindicações estejam sob nosso controle.

Requisitos

Nenhuma exploração além do necessário para demonstrar a vulnerabilidade
Nenhuma divulgação da vulnerabilidade a terceiros antes de uma correção
Nenhuma exfiltração, modificação, exclusão, armazenamento ou compartilhamento de dados que não pertencem a você. Use contas de teste sempre que possível
Nenhuma publicação ou divulgação sem coordenação prévia e aprovação por escrito; 90 dias é nossa diretriz, não uma autorização automática
Nenhuma interrupção intencional de serviço ou destruição de dados
Cumprimento das leis aplicáveis a você, à sua pesquisa e aos sistemas afetados

Se você visualizar acidentalmente dados que não pertencem a você, pare imediatamente, não acesse mais, não copie, modifique, exclua ou compartilhe esses dados, e relate apenas as informações mínimas necessárias para verificação. Esta garantia aplica-se exclusivamente a reivindicações sob controle da Protectstar e não autoriza qualquer conduta proibida por lei. Ela não se estende a atividades contra sistemas, serviços, redes ou dados de terceiros e não impede ações independentes de terceiros. Em caso de dúvida: pergunte antes, não depois.

Reconhecimento

Hall of Fame primeiro. Pequenos pagamentos de reconhecimento caso a caso.

A Protectstar não opera um programa de bug bounty tradicional com pagamentos fixos ou garantidos. Nosso foco está em análise justa, remediação coordenada e possível reconhecimento na Hall of Fame para relatos que atendam aos nossos requisitos. Além disso, a Protectstar pode, a seu exclusivo critério, oferecer um pequeno pagamento monetário voluntário de reconhecimento para relatos especialmente úteis, validados, previamente desconhecidos e dentro do escopo. Não há direito a pagamento; o valor e se algum pagamento será concedido são decididos somente após a validação do relatório técnico completo.

Requisitos para possível reconhecimento na Hall of Fame

Válido e documentado de forma reproduzível
Previamente desconhecido e ainda não em revisão interna
Dentro do escopo conforme as áreas listadas acima
Enviado primeiro (o primeiro relator conta)
Relatado sem violar esta política
Materialmente relevante para a segurança da Protectstar ou de nossos usuários
Sem ameaças ou exigências de pagamento antes, durante ou depois do relato

Classificação de gravidade

A gravidade influencia a prioridade da correção e o possível reconhecimento. A Hall of Fame continua sendo nossa principal forma de reconhecimento.

Gravidade	Exemplos comuns	Possível reconhecimento
Crítica	Execução remota de código, bypass de autenticação, vazamento massivo de dados, comprometimento da integridade de atualização	Hall of Fame; um pequeno pagamento voluntário de reconhecimento pode ser considerado após análise caso a caso
Alta	Escalação de privilégios, fraquezas criptográficas com impacto, tomada de conta	Hall of Fame; um pequeno pagamento voluntário de reconhecimento pode ser considerado após análise caso a caso
Média	XSS armazenado, IDOR com impacto demonstrável, problemas de sessão	Hall of Fame; um pequeno pagamento opcional de reconhecimento pode ser considerado para impacto claro e reproduzível
Baixa	XSS refletido com impacto limitado, divulgação de informações sem consequências práticas	Geralmente Hall of Fame ou agradecimento; reconhecimento monetário apenas em casos excepcionais

A gravidade é avaliada usando CVSS 4.0 ou CVSS 3.1 como diretriz. A Protectstar faz a avaliação final; podemos explicar avaliações divergentes por escrito mediante solicitação. Não negociamos valores antes de receber e validar o relatório técnico completo.

Tempos de resposta

Nossos prazos-alvo.

Somos uma equipe enxuta, não um SOC 24/7. Estes números são nossos objetivos. Se houver atrasos, avisaremos você.

3 dias úteis Confirmação de recebimento (meta)

10 dias úteis Triagem técnica inicial (meta)

90 dias Divulgação coordenada (meta)

Criptografia

Chave PGP.

Para detalhes sensíveis de vulnerabilidades, você pode enviar seu relato criptografado.

Impressão digital

B8DB 47D7 DBE5 DD63 7C65 80E0 3513 CE31 BD10 B7AD

ID da chave

0x3513CE31BD10B7AD

Identidade

PROTECTSTAR Support Hero
< >

Esta chave está atualmente associada a e autorizada pela Protectstar para comunicação criptografada com .

Baixar chave

Hall of Fame

Quem nos ajudou.

Pesquisadores de segurança que usaram nosso programa de forma responsável e ajudaram a tornar nossos produtos mais seguros.

Ainda não há entradas.

Nosso programa acabou de ser lançado. Relatos que atendam aos nossos requisitos poderão receber crédito aqui.

Exibido com nome legal ou pseudônimo mediante solicitação. Para vulnerabilidades de produto adequadas, avaliamos a coordenação CVE por meio de uma CNA apropriada.

Perguntas frequentes

Antes de perguntar.

O que significa “de boa-fé”?

Pesquisa de boa-fé significa: você segue esta política, demonstra uma vulnerabilidade sem explorá-la além do necessário, relata primeiro a nós e nos dá tempo para corrigir. O Safe Harbor deixa de se aplicar se você ultrapassar esse limite, exfiltrar dados de usuários ou reter detalhes técnicos para exigir pagamento.

Receberei pagamento pelo meu relato?

Não automaticamente. A Protectstar não opera um programa de bug bounty tradicional com pagamentos fixos ou garantidos. A Hall of Fame é nossa principal forma de reconhecimento. Para relatos especialmente úteis, validados, previamente desconhecidos e dentro do escopo, podemos oferecer, a nosso exclusivo critério, um pequeno pagamento monetário voluntário de reconhecimento. Não negociamos recompensas antes de receber e validar o relatório técnico completo.

E se eu quiser relatar anonimamente?

Aceitamos relatos anônimos e os tratamos tecnicamente da mesma forma. Mediante solicitação, listaremos você na Hall of Fame sob pseudônimo, desde que os requisitos sejam atendidos.

Como a gravidade é determinada?

Usamos CVSS 4.0 ou CVSS 3.1 como diretriz e complementamos com fatores de impacto da sua demonstração. A Protectstar faz a avaliação final. Se nossa avaliação diferir da sua, podemos explicá-la mediante solicitação.

Meu achado receberá um ID CVE?

Para vulnerabilidades de produto adequadas, avaliamos a coordenação CVE por meio de uma CNA apropriada ou outro canal adequado. Um ID CVE não é garantido e depende das regras CVE da CNA.

Posso usar scanners automatizados?

Sim, mas apenas de forma não invasiva, com limitação de taxa, e em ativos explicitamente listados como dentro do escopo. Ferramentas agressivas, altas taxas de requisições ou testes que possam afetar a disponibilidade para outros usuários não são permitidos. Saídas brutas de scanners sem impacto verificado, como cabeçalhos ausentes, notas de TLS ou divulgação de versão, não são elegíveis para reconhecimento. Em caso de dúvida: pergunte primeiro.

E quanto a relatos duplicados?

O primeiro relator conta. Se uma vulnerabilidade já for conhecida internamente ou já tiver sido relatada, ela não será elegível para reconhecimento. Informaremos você o mais cedo possível.

Meu relato envolve um app ou uma API de backend. Está no escopo?

Relatos sobre apps e APIs da Protectstar são bem-vindos. Nesta primeira fase, porém, eles são analisados caso a caso e não são automaticamente elegíveis para reconhecimento, a menos que o ativo afetado esteja explicitamente listado acima ou confirmado por nós por escrito. Ainda assim, envie-nos seu relato.

Envie-nos seu relato.

Analisamos relatos confiáveis e normalmente respondemos em poucos dias úteis.

PGP disponível · security.txt em conformidade com RFC 9116 · Safe Harbor para pesquisa de boa-fé