Jurídico
Política de Divulgação de Vulnerabilidades
Levamos a segurança do seu cofre a sério. Se você encontrou uma vulnerabilidade, queremos saber.
Não tomaremos medidas legais contra pesquisadores de segurança que ajam de boa-fé sob esta política. Boa-fé significa: você faz um esforço genuíno para evitar violações de privacidade, destruição de dados e interrupção de serviços.
Se você seguir estas diretrizes, consideramos sua pesquisa autorizada. Trabalharemos com você para entender e resolver o problema rapidamente.
O seguinte está em escopo:
- clavitor.ai — o site de produção
- *.clavitor.ai — todos os endpoints do cofre de Ponto de Presença (POP)
- /api/ — a API REST do cofre
- /app/ — a UI web do cofre
- clavitor-cli — o agente CLI
- clavitor-proxy — o proxy de credenciais HTTPS
- Extensões de Navegador — Chrome, Firefox, Safari
O seguinte está fora de escopo:
- Engenharia social de funcionários ou usuários
- Ataques de negação de serviço
- Ataques físicos contra infraestrutura
- Serviços de terceiros (Paddle, Cloudflare)
- Varreduras automatizadas que degradam a disponibilidade do serviço
- Não acesse, modifique ou exclua dados do cofre de outra pessoa.
- Não degrade a disponibilidade do serviço.
- Pare e reporte imediatamente se encontrar dados reais de usuários.
- Dê-nos tempo razoável para corrigir problemas antes de qualquer divulgação pública.
- Use o acesso mínimo necessário para demonstrar a vulnerabilidade.
Envie um e-mail para security@clavitor.ai. Para relatórios sensíveis, criptografe sua mensagem com nossa chave PGP.
Inclua:
- Descrição da vulnerabilidade e seu impacto potencial
- Passos para reproduzir
- Qualquer código de prova de conceito ou capturas de tela
- Reconheceremos seu relatório em até 48 horas.
- Forneceremos uma avaliação significativa em até 7 dias.
- Manteremos você informado enquanto trabalhamos em uma correção.
- Daremos crédito público a você em nossa página de agradecimentos — a menos que prefira permanecer anônimo.
Não oferecemos um programa de recompensas pago. Oferecemos nossos agradecimentos, crédito público e o conhecimento de que você ajudou a proteger os dados privados de usuários reais.