Divulgação responsável para serviços DediStart.

Visão geral

Nenhum sistema de produção é perfeito, e a revisão de segurança por investigadores experientes pode ser valiosa. Se descobriu uma vulnerabilidade que afeta os serviços DediStart, esta política descreve como reportar de forma responsável.

O programa está centrado na divulgação responsável, não na competição pública. Relatórios qualificados podem ser considerados para uma recompensa discricionária com base na avaliação interna.

Expectativas de reporte seguro

• Reporte o problema assim que razoavelmente possível após a descoberta e forneça detalhes suficientes para reprodução.
• Permita um tempo razoável para investigação e remediação antes de divulgar publicamente o problema.
• Não use personificação, engenharia social, phishing ou outros métodos de contacto enganosos.
• Use apenas contas que criou e não aceda, modifique ou destrua dados pertencentes a outros.
• Evite métodos de teste que perturbem a disponibilidade, degradem o serviço para outros ou criem riscos desnecessários.
• Mantenha o relatório confidencial enquanto o problema está em revisão. As informações pessoais fornecidas serão tratadas de acordo com a política de privacidade.
• Se seguir estas expectativas e as outras condições desta política, a Redcluster LTD compromete-se a não tomar ações legais relacionadas com o reporte.

Elegibilidade

Um relatório pode ser considerado para revisão ao abrigo deste programa quando todas as seguintes condições são verdadeiras:

1. É o primeiro a reportar o problema.
2. Segue as expectativas de reporte seguro descritas nesta política.
3. Não divulga publicamente o problema antes de a Redcluster LTD ter tido uma oportunidade razoável de investigar e resolver.
4. Fornece uma explicação clara do impacto juntamente com passos reproduzíveis ou uma prova de conceito funcional.
5. Usa apenas as suas próprias contas e não tenta aceder a dados que não lhe pertencem.
6. Não está localizado em, ou de outra forma sujeito a, restrições de sanções que impediriam o pagamento de recompensas.

Descobertas fora do âmbito

As categorias abaixo estão geralmente fora do âmbito e podem não receber uma resposta individual detalhada.

Ataques sociais e físicos

• Engenharia social, phishing, personificação ou outras tentativas de manipular pessoal ou terceiros.
• Qualquer tentativa física contra propriedade da empresa, infraestrutura ou instalações de data center.

Disponibilidade e testes abusivos

• Atividade de negação de serviço, força bruta, testes de stress ou qualquer teste que possa degradar o serviço.
• Relatórios gerados apenas por ferramentas automatizadas ou varredura ampla sem um caminho de exploração demonstrado.
• Limites de taxa em falta reportados sem um caminho de exploração prático.

Descobertas web de baixo sinal

• CSRF, self-XSS, problemas apenas de clickjacking, spoofing de conteúdo em páginas de erro, ataques de homógrafo e similares.

Cabeçalhos, configuração e relatórios apenas de exposição

• Flags de cookies em falta, cabeçalhos de segurança em falta sem impacto demonstrado, falta de noreferrer ou noopener, observações DKIM/SPF/DMARC, exposição de versão, listagem de diretório, observações SSL, OPTIONS/TRACE HTTP habilitados e similares.

Casos extremos de conta e dispositivo local

• Timeouts de sessão de autenticação, reutilização de TOTP 2FA, preocupações com política de palavras-passe, verificações de alteração de e-mail e similares.
• Reivindicações de enumeração de utilizadores que dependem de comportamento de força bruta em vez de um caminho de aplicação prático.

Software de terceiros e sistemas externos

• Bugs em software de terceiros, vulnerabilidades WordPress, vulnerabilidades de browser ou vulnerabilidades de processador de pagamento.

O que incluir num relatório

Um relatório útil normalmente inclui:

• O hostname, URL, serviço ou fluxo de utilizador afetado.
• Passos de reprodução claros, incluindo estado de conta necessário, timing ou detalhes de ambiente.
• O impacto observado e a consequência de segurança que acredita resultar do problema.
• Uma prova de conceito, capturas de ecrã, amostras de pedidos ou registos que ajudem a equipa a validar o problema.
• Os seus dados de contacto preferidos caso seja necessário esclarecimento posterior.

Canal de reporte

Envie as descobertas iniciais para o canal de abuso e segurança abaixo. Se o problema for aceite para revisão, a equipa irá coordenar os próximos passos por e-mail.