Divulgação responsável de vulnerabilidades

Escreva para william@stelixtechnology.com com o assunto "Segurança — relato de vulnerabilidade". É o canal único: não use o suporte comum, redes sociais nem o formulário de contato, porque esses caminhos passam por mais gente do que o necessário.

Se quiser cifrar o conteúdo, diga isso na primeira mensagem e combinamos o meio antes de você enviar qualquer detalhe.

Quanto mais completo o relato, mais rápido conseguimos confirmar e corrigir:

• O endereço (URL) ou a tela do aplicativo onde a falha aparece.
• O passo a passo para reproduzir, na ordem exata.
• O que dá para fazer com a falha — que dado ela alcança, ou que ação ela permite.
• Data e hora aproximadas do teste, com o fuso.
• Capturas de tela, requisições ou trechos de log que ajudem a entender.
• Se usou alguma conta, qual — e se ela é sua.
• Como prefere ser contatado, e se quer ser creditado publicamente.

Não envie dado pessoal de terceiro. Se a falha expõe dados de outras pessoas, descreva o caminho e mande uma amostra mínima — o suficiente para provar, nunca a base inteira. E não publique a falha antes de conversarmos.

• Primeira resposta: até 3 dias úteis — confirmando que recebemos e quem está olhando.
• Confirmação ou descarte: até 10 dias úteis — dizendo se reproduzimos e qual a gravidade na nossa classificação.
• Correção: depende da gravidade. Falha crítica é contida no mesmo dia; o prazo de cada nível está no nosso processo interno de gestão de vulnerabilidades.
• Aviso do fim: avisamos você quando a correção estiver no ar.

O Junne é operado por uma equipe pequena. Estes prazos são os que conseguimos cumprir de verdade — se algum deles for estourar, você recebe a justificativa e uma data nova, em vez de silêncio.

Não tomaremos nenhuma medida legal contra quem encontrar e reportar uma falha de boa-fé, seguindo esta página. Também não pediremos a terceiros que o façam, e não trataremos o relato como uso indevido da plataforma.

Boa-fé, aqui, quer dizer:

• Testar apenas em contas suas, ou em conta de quem autorizou você por escrito.
• Parar assim que confirmar a falha — sem acessar mais dado do que o necessário para demonstrá-la, e sem alterar ou apagar nada.
• Não degradar o serviço nem prejudicar comerciantes e consumidores.
• Não divulgar publicamente antes de a correção estar no ar, ou antes de combinarmos.

Não pagamos recompensa em dinheiro. Não temos programa de recompensa e não queremos sugerir que temos. O que oferecemos é resposta no prazo, correção, o crédito público pelo achado se você quiser, e a transparência de dizer o que foi corrigido.

Relatos sobre os itens abaixo serão lidos, mas não entram como vulnerabilidade e não recebem o compromisso da seção 4:

• Engenharia social — phishing, ligações ou mensagens contra nossa equipe, comerciantes, entregadores ou consumidores.
• Negação de serviço (DoS/DDoS), teste de carga, de estresse ou de força bruta em volume.
• Teste em conta de terceiro — qualquer acesso a conta de comerciante ou de consumidor que não seja sua e não tenha autorização por escrito.
• Envio de spam ou abuso dos nossos canais de e-mail e mensagem.
• Acesso físico a equipamentos, e qualquer coisa que envolva máquina ou aparelho de outra pessoa.
• Achado de ferramenta automática sem caminho de exploração demonstrado, inclusive relatório de scanner colado sem análise.
• Ausência de boas práticas sem impacto: nota de SSL/TLS, cabeçalho de segurança faltando, versão de biblioteca sem falha explorável aqui, política de senha, ausência de SPF/DMARC em domínio que não envia e-mail.
• Falha em sistema de terceiro. Se o problema é da instituição que processa os pagamentos, do provedor de hospedagem ou de outro fornecedor, reporte direto a eles — se preferir, nos avise que encaminhamos.
• Sites e sistemas que não são nossos, ainda que apontem para o Junne (o domínio próprio de um comerciante, por exemplo, quando a falha está no site dele).

Nunca teste contra dados reais de comerciantes ou de consumidores. Se precisar de um ambiente para demonstrar, peça — a gente combina.

Para não misturar caminhos que têm donos e prazos diferentes:

• Falha de segurança (esta página): william@stelixtechnology.com.
• Direitos do titular de dados (LGPD, art. 18 — acesso, correção, eliminação, portabilidade): privacidade@junne.app, com o assunto "LGPD — solicitação". O Encarregado pelo Tratamento de Dados Pessoais da Stelix Technology Ltda é William Ewerton dos Santos, e é a ele que esse canal chega. O caminho completo está na Política de Privacidade.
• Dúvida de uso, cobrança ou pedido: suporte@junne.app ou a Central de Ajuda.

Esta política também é publicada em /.well-known/security.txt, conforme a RFC 9116.