Segurança e Divulgação de Vulnerabilidades

Se considerar ter identificado uma vulnerabilidade de segurança num sistema público da CubeShackles, envie o relatório para security@cubeshackles.com. Evite transmitir dados pessoais, credenciais, dados de clientes ou informação sensível de produção que não seja necessária no relatório inicial.

• Hostname, endpoint, aplicação, repositório ou activo afectado.
• Passos claros de reprodução e condições necessárias para desencadear o problema.
• Comportamento observado e comportamento esperado.
• Avaliação concisa do impacto e, quando adequado, prova de conceito.
• Um meio de contacto seguro para acompanhamento.

Aceitamos investigação de boa-fé destinada a melhorar a segurança de sistemas públicos da CubeShackles. O investigador deve minimizar impacto, evitar acesso a dados para além do estritamente necessário para demonstrar a vulnerabilidade e interromper os testes se a continuidade puder afectar disponibilidade, integridade, confidencialidade ou terceiros.

Salvo indicação específica em contrário, apenas propriedades web e serviços públicos pertencentes à CubeShackles são considerados no âmbito desta política. Infraestrutura de terceiros, ambientes de clientes, sistemas de parceiros, repositórios privados, contas de colaboradores e redes não públicas não são alvos autorizados.

• Negação de serviço, esgotamento de recursos ou flooding de tráfego.
• Engenharia social, phishing, roubo de credenciais ou impersonação.
• Ataques físicos ou tentativas de acesso a instalações ou dispositivos.
• Testes destrutivos, persistência, movimento lateral ou modificação de dados.
• Testes dirigidos a clientes, parceiros, colaboradores, reguladores ou terceiros sem autorização expressa.

Relatórios que normalmente não demonstram impacto de segurança relevante incluem resultados automáticos sem validação, ausência de cabeçalhos recomendados sem condição explorável, clickjacking em páginas não sensíveis, self-XSS, observações de rate-limit sem consequência de segurança e referências a versões de software sem prova de explorabilidade no nosso ambiente.

Procuramos acusar recepção de relatórios credíveis, classificar a severidade, validar o impacto, coordenar a correcção e comunicar actualizações materiais quando apropriado. O prazo depende da severidade, reprodutibilidade, sistemas afectados e restrições operacionais.

Solicitamos que qualquer divulgação pública seja coordenada com a CubeShackles após um período razoável de correcção. Quando a divulgação possa expor instituições, utilizadores, infraestrutura crítica, credenciais ou caminhos de exploração ainda não resolvidos, poderemos solicitar tempo adicional para concluir a remediação e validação.

A CubeShackles estrutura a segurança em torno de privilégio mínimo, defesa em profundidade, integridade criptográfica, auditabilidade, segmentação, desenvolvimento seguro, observabilidade e preparação para incidentes. As descrições públicas permanecem deliberadamente de alto nível para evitar exposição de detalhes sensíveis de implementação.

Assuntos sensíveis de segurança devem ser enviados para security@cubeshackles.com. Pedidos não relacionados com segurança devem utilizar o canal apropriado na nossa página de Contacto.