Política de divulgação de vulnerabilidades

• security.zeine.com.br e a API dele em /api.
• O scanner (User-Agent e IPs publicados em sobre o scanner).

Fora do escopo: apps de terceiros que aparecem em relatórios (fale com o responsável pelo app), outros sistemas da Zeine, engenharia social, ataques físicos e negação de serviço.

Escreva para security@zeine.com.br com a descrição da falha, os passos para reproduzir e o impacto que você enxerga. Mande o mínimo necessário: se a falha expuser dado pessoal, não copie o dado, descreva onde ele aparece.

• Teste só o necessário para demonstrar a falha e pare assim que confirmar.
• Não acesse, altere, guarde nem apague dado de outras pessoas.
• Não degrade o serviço (nada de carga, força bruta ou varredura em massa).
• Dê um prazo razoável para a correção antes de divulgar; combinamos juntos, em regra até 90 dias.

• Confirmar o recebimento em até 3 dias úteis e manter você informado até a correção.
• Dar crédito público pela descoberta, se você quiser.
• Considerar autorizada a pesquisa feita de boa-fé e dentro desta política: a Zeine não vai iniciar ação civil nem apresentar representação ou queixa por ela, inclusive com base no art. 154-A do Código Penal, e não vai considerar violação dos termos de uso.
• Se um terceiro abrir processo contra você por pesquisa feita conforme esta política, a Zeine deixa claro que ela foi autorizada.

Esta autorização vale só para os sistemas da Zeine no escopo acima. Ela não autoriza testar apps de terceiros, nem mesmo os que aparecem num relatório.