Português
Deutsch
English
Español
Français
Italiano
Русский
العربية
हिन्दी
日本語
简体中文
Android
iOS
Mac
Windows
Relatar
Envie um e-mail para . Descreva o ativo, as etapas de reprodução e o impacto realista. Quanto mais preciso você for, mais rápido poderemos analisar.
Programa de Divulgação de Vulnerabilidades Encontrou uma vulnerabilidade?
Encontrou uma vulnerabilidade?
Avise-nos primeiro.
Analisamos todos os relatos confiáveis. Primeiro, a Hall of Fame; um pagamento voluntário de reconhecimento pode ser considerado caso a caso.
Nossa abordagem
Segurança é trabalho em equipe.
Pesquisadores de segurança não são adversários. Muitas vezes, eles são os primeiros a identificar vulnerabilidades reais. Tratamos você com respeito: respostas honestas, termos claros e reconhecimento justo. Este é um Programa de Divulgação de Vulnerabilidades com possível reconhecimento na Hall of Fame e pequenos pagamentos opcionais de reconhecimento após análise caso a caso. Não é um programa de bug bounty tradicional com pagamentos fixos ou garantidos.
A Apple credita nosso fundador Chris Bohn nominalmente em uma atualização de segurança oficial por uma vulnerabilidade de kernel relatada no OS X (CVE-2013-1029). Sabemos em primeira mão quanto trabalho um bom relato exige e como o tratamento justo é importante. Fonte: support.apple.com/en-us/103517
Como funciona Etapa 01 Etapa 02 Etapa 03
Três etapas até a correção.
Sem burocracia. Sem formulários. Sem processo oculto.
Triagem
Analisamos relatos confiáveis e normalmente respondemos em poucos dias úteis. Se houver atrasos, manteremos você informado.
Correção & reconhecimento
As correções são priorizadas por gravidade. Achados elegíveis e validados podem receber crédito em nossa Hall of Fame. Para vulnerabilidades de produto adequadas, avaliamos a coordenação CVE.
RFC 9116
security.txt
Usando um scanner ou verificando /.well-known/security.txt? Você nos encontrou imediatamente.
# https://www.protectstar.com/.well-known/security.txt Contact: mailto:security@protectstar.com Encryption: https://www.protectstar.com/security/pgp.asc Policy: https://www.protectstar.com/security Acknowledgments: https://www.protectstar.com/security/acknowledgments Preferred-Languages: en, de Canonical: https://www.protectstar.com/.well-known/security.txt Canonical: https://protectstar.com/.well-known/security.txt Expires: 2027-05-19T23:59:59Z
Escopo
O que está no escopo.
Estamos começando com um escopo deliberadamente restrito para que nossa equipe possa analisar cada relato com profundidade. Relatos sobre apps e APIs são bem-vindos, mas serão analisados caso a caso.
Dentro do escopo
- www.protectstar.com & protectstar.com Áreas públicas do site operadas pela própria Protectstar
- Mecanismos de integridade de atualização e download documentados publicamente Assinaturas e hashes na infraestrutura da Protectstar
- Metadados publicados de integridade de arquivos Publicado em protectstar.com
- Subdomínios adicionais Somente quando explicitamente listados ou confirmados por nós por escrito
Fora do escopo
- Sistemas & serviços de terceiros Provedores de loja e pagamento, app stores, CDN/hospedagem, motores externos, SDKs e serviços de parceiros
- APIs, servidores de licença/ativação e sistemas internos que não tenham sido explicitamente confirmados
- Engenharia social & phishing Direcionamento a funcionários, suporte ou parceiros
- Testes DoS / DDoS / de volume
- Ataques físicos
- Self-XSS e cabeçalhos de boas práticas ausentes sem impacto
- Versões beta / TestFlight / pré-lançamento
Apps, APIs de backend, software desktop: Relatos são bem-vindos, mas não estão automaticamente no escopo nem são elegíveis para reconhecimento. Analisamos cada relato caso a caso.
Safe Harbor
Pesquise de boa-fé. Trataremos você de forma justa.
Se você conduzir pesquisa de segurança de boa-fé, dentro desta política e exclusivamente em ativos explicitamente listados como dentro do escopo ou confirmados por nós por escrito, consideraremos essa pesquisa autorizada. A Protectstar não iniciará nem apoiará ações legais por tal pesquisa na medida em que as reivindicações estejam sob nosso controle.
Requisitos
- Nenhuma exploração além do necessário para demonstrar a vulnerabilidade
- Nenhuma divulgação da vulnerabilidade a terceiros antes de uma correção
- Nenhuma exfiltração, modificação, exclusão, armazenamento ou compartilhamento de dados que não pertencem a você. Use contas de teste sempre que possível
- Nenhuma publicação ou divulgação sem coordenação prévia e aprovação por escrito; 90 dias é nossa diretriz, não uma autorização automática
- Nenhuma interrupção intencional de serviço ou destruição de dados
- Cumprimento das leis aplicáveis a você, à sua pesquisa e aos sistemas afetados
Se você visualizar acidentalmente dados que não pertencem a você, pare imediatamente, não acesse mais, não copie, modifique, exclua ou compartilhe esses dados, e relate apenas as informações mínimas necessárias para verificação. Esta garantia aplica-se exclusivamente a reivindicações sob controle da Protectstar e não autoriza qualquer conduta proibida por lei. Ela não se estende a atividades contra sistemas, serviços, redes ou dados de terceiros e não impede ações independentes de terceiros. Em caso de dúvida: pergunte antes, não depois.
Reconhecimento
Hall of Fame primeiro. Pequenos pagamentos de reconhecimento caso a caso.
A Protectstar não opera um programa de bug bounty tradicional com pagamentos fixos ou garantidos. Nosso foco está em análise justa, remediação coordenada e possível reconhecimento na Hall of Fame para relatos que atendam aos nossos requisitos. Além disso, a Protectstar pode, a seu exclusivo critério, oferecer um pequeno pagamento monetário voluntário de reconhecimento para relatos especialmente úteis, validados, previamente desconhecidos e dentro do escopo. Não há direito a pagamento; o valor e se algum pagamento será concedido são decididos somente após a validação do relatório técnico completo.
Requisitos para possível reconhecimento na Hall of Fame
- Válido e documentado de forma reproduzível
- Previamente desconhecido e ainda não em revisão interna
- Dentro do escopo conforme as áreas listadas acima
- Enviado primeiro (o primeiro relator conta)
- Relatado sem violar esta política
- Materialmente relevante para a segurança da Protectstar ou de nossos usuários
- Sem ameaças ou exigências de pagamento antes, durante ou depois do relato
Classificação de gravidade
A gravidade influencia a prioridade da correção e o possível reconhecimento. A Hall of Fame continua sendo nossa principal forma de reconhecimento.
| Gravidade | Exemplos comuns | Possível reconhecimento |
|---|---|---|
| Crítica | Execução remota de código, bypass de autenticação, vazamento massivo de dados, comprometimento da integridade de atualização | Hall of Fame; um pequeno pagamento voluntário de reconhecimento pode ser considerado após análise caso a caso |
| Alta | Escalação de privilégios, fraquezas criptográficas com impacto, tomada de conta | Hall of Fame; um pequeno pagamento voluntário de reconhecimento pode ser considerado após análise caso a caso |
| Média | XSS armazenado, IDOR com impacto demonstrável, problemas de sessão | Hall of Fame; um pequeno pagamento opcional de reconhecimento pode ser considerado para impacto claro e reproduzível |
| Baixa | XSS refletido com impacto limitado, divulgação de informações sem consequências práticas | Geralmente Hall of Fame ou agradecimento; reconhecimento monetário apenas em casos excepcionais |
A gravidade é avaliada usando CVSS 4.0 ou CVSS 3.1 como diretriz. A Protectstar faz a avaliação final; podemos explicar avaliações divergentes por escrito mediante solicitação. Não negociamos valores antes de receber e validar o relatório técnico completo.
Tempos de resposta
Nossos prazos-alvo.
Somos uma equipe enxuta, não um SOC 24/7. Estes números são nossos objetivos. Se houver atrasos, avisaremos você.
3 dias úteis Confirmação de recebimento (meta)
10 dias úteis Triagem técnica inicial (meta)
90 dias Divulgação coordenada (meta)
Criptografia
Chave PGP.
Para detalhes sensíveis de vulnerabilidades, você pode enviar seu relato criptografado.
Impressão digital
B8DB 47D7 DBE5 DD63 7C65 80E0 3513 CE31 BD10 B7AD
ID da chave
0x3513CE31BD10B7AD
Identidade
PROTECTSTAR Support Hero
< >
< >
Esta chave está atualmente associada a e autorizada pela Protectstar para comunicação criptografada com .
Baixar chave Hall of Fame October 2026 October 2026 September 2026 September 2026 September 2026 September 2026 September 2026 August 2026 May 2026
Quem nos ajudou.
Pesquisadores de segurança que usaram nosso programa de forma responsável e ajudaram a tornar nossos produtos mais seguros.
Peter Levashov
SEVERADAO SECURITY LLCResponsible, coordinated disclosure through our Vulnerability Disclosure Program. Thank you.
Exibido com nome legal ou pseudônimo mediante solicitação. Para vulnerabilidades de produto adequadas, avaliamos a coordenação CVE por meio de uma CNA apropriada.
Perguntas frequentes
Antes de perguntar.
Pesquisa de boa-fé significa: você segue esta política, demonstra uma vulnerabilidade sem explorá-la além do necessário, relata primeiro a nós e nos dá tempo para corrigir. O Safe Harbor deixa de se aplicar se você ultrapassar esse limite, exfiltrar dados de usuários ou reter detalhes técnicos para exigir pagamento.
Não automaticamente. A Protectstar não opera um programa de bug bounty tradicional com pagamentos fixos ou garantidos. A Hall of Fame é nossa principal forma de reconhecimento. Para relatos especialmente úteis, validados, previamente desconhecidos e dentro do escopo, podemos oferecer, a nosso exclusivo critério, um pequeno pagamento monetário voluntário de reconhecimento. Não negociamos recompensas antes de receber e validar o relatório técnico completo.
Aceitamos relatos anônimos e os tratamos tecnicamente da mesma forma. Mediante solicitação, listaremos você na Hall of Fame sob pseudônimo, desde que os requisitos sejam atendidos.
Usamos CVSS 4.0 ou CVSS 3.1 como diretriz e complementamos com fatores de impacto da sua demonstração. A Protectstar faz a avaliação final. Se nossa avaliação diferir da sua, podemos explicá-la mediante solicitação.
Para vulnerabilidades de produto adequadas, avaliamos a coordenação CVE por meio de uma CNA apropriada ou outro canal adequado. Um ID CVE não é garantido e depende das regras CVE da CNA.
Sim, mas apenas de forma não invasiva, com limitação de taxa, e em ativos explicitamente listados como dentro do escopo. Ferramentas agressivas, altas taxas de requisições ou testes que possam afetar a disponibilidade para outros usuários não são permitidos. Saídas brutas de scanners sem impacto verificado, como cabeçalhos ausentes, notas de TLS ou divulgação de versão, não são elegíveis para reconhecimento. Em caso de dúvida: pergunte primeiro.
O primeiro relator conta. Se uma vulnerabilidade já for conhecida internamente ou já tiver sido relatada, ela não será elegível para reconhecimento. Informaremos você o mais cedo possível.
Relatos sobre apps e APIs da Protectstar são bem-vindos. Nesta primeira fase, porém, eles são analisados caso a caso e não são automaticamente elegíveis para reconhecimento, a menos que o ativo afetado esteja explicitamente listado acima ou confirmado por nós por escrito. Ainda assim, envie-nos seu relato.
Envie-nos seu relato.
Analisamos relatos confiáveis e normalmente respondemos em poucos dias úteis.
PGP disponível · security.txt em conformidade com RFC 9116 · Safe Harbor para pesquisa de boa-fé