Política de divulgação de vulnerabilidades
Como reportar uma vulnerabilidade ou um bypass da Moatgator, o que está no escopo, a nossa promessa de não processar quem pesquisa de boa-fé e os prazos de resposta e correção.
Última atualização:
Rascunho em revisão jurídica. Este texto ainda não vale como contrato e pode mudar.
A segurança dos nossos clientes depende de a Moatgator ser difícil de quebrar. Se você encontrou uma vulnerabilidade na plataforma ou um jeito de burlar a proteção, queremos saber, e prometemos tratar você como parceiro. Esta política vale para a GZ Segurança e Defesa Cibernética LTDA ("Moatgator"), CNPJ 40.988.106/0001-60.
Como reportar
Use o formulário de contato e comece a mensagem com [SEGURANÇA]. Descreva em poucas linhas o problema, onde está e o impacto. Respondemos por e-mail e combinamos com você um canal para mandar os detalhes, a prova de conceito e os anexos.
Um bom relato traz:
- o componente afetado (URL, versão do SDK, sistema e aparelho);
- os passos para reproduzir e o resultado esperado e o obtido;
- o impacto que você vê (o que um atacante conseguiria);
- se dados de alguém foram acessados (e quais), para que possamos agir.
Aceitamos relatos em português e em inglês. Não peça nem envie dados de terceiros que você tenha encontrado: descreva o tipo de dado e pare.
Escopo
No escopo:
- moatgator.com, app.moatgator.com (console), api.moatgator.com (API), github-app.moatgator.com e a documentação;
- os SDKs da Moatgator (Android, iOS, React Native, Flutter, Capacitor e Kotlin Multiplatform), a CLI, a GitHub Action e o GitHub App;
- bypass da proteção: desligar, enganar ou contornar uma detecção (root, jailbreak, Frida, depurador, emulador, adulteração, Attest) num app de teste seu, construído com o nosso SDK ou protegido pela nossa plataforma, num aparelho seu;
- falhas que permitam ver ou mudar dados de outra organização, escalar privilégios, forjar eventos ou vereditos, ou burlar a cobrança.
Fora do escopo:
- apps dos nossos clientes: reporte ao desenvolvedor do app (podemos ajudar a encaminhar);
- serviços de terceiros que usamos (Railway, GitHub, Stripe, Resend e outros): reporte a eles;
- negação de serviço, testes de carga, spam e engenharia social com a nossa equipe ou clientes;
- relatórios automáticos de ferramentas sem prova de impacto;
- ausência de cabeçalhos ou de configurações sem impacto demonstrado (por exemplo, SPF/DMARC, clickjacking em página sem ação sensível);
- self-XSS e problemas que só ocorrem em navegadores sem suporte;
- limites de taxa em rotas sem efeito sensível.
Regras de boa-fé
Para ficar sob a proteção desta política, você:
- usa só contas e organizações suas (crie quantas precisar no plano gratuito) e apps seus;
- não acessa, copia, altera nem apaga dados de outras pessoas além do mínimo para provar o problema, e para assim que perceber o acesso;
- não degrada o serviço (máximo de 10 requisições por segundo, sem varredura agressiva);
- não mantém acesso nem instala nada persistente;
- não divulga o problema antes de combinarmos (veja "Divulgação");
- cumpre a lei e esta política.
Porto seguro
Se você agir de boa-fé e seguir esta política:
- consideramos a sua pesquisa autorizada e não vamos tomar medidas judiciais nem registrar queixa contra você por ela, inclusive com base no art. 154-A do Código Penal (Lei nº 12.737/2012) ou nas leis de software e de direito autoral (Leis nº 9.609/1998 e nº 9.610/1998) pela engenharia reversa dos nossos SDKs;
- não consideramos violação dos Termos de Uso nem da Política de Uso Aceitável os atos necessários à pesquisa;
- se um terceiro tomar medidas contra você por atos cobertos por esta política, diremos publicamente que você agiu com a nossa autorização.
Não podemos autorizar testes em sistemas de terceiros, inclusive nos apps dos nossos clientes. Em caso de dúvida sobre se algo está no escopo, pergunte antes pelo formulário.
Prazos
| Etapa | Prazo |
|---|---|
| Confirmação de recebimento | até 3 dias úteis |
| Primeira avaliação (aceito, precisa de mais dados ou fora do escopo) | até 10 dias úteis |
| Correção de severidade crítica, inclusive bypass crítico da proteção | meta de 7 dias corridos |
| Correção de severidade alta | meta de 30 dias |
| Correção de severidade média | meta de 90 dias |
| Severidade baixa | na próxima versão possível |
Classificamos a severidade pelo impacto real (CVSS como referência) e avisamos você do andamento pelo menos a cada 14 dias até a correção.
Divulgação
Pedimos até 90 dias a partir do relato para corrigir antes de qualquer publicação. Quando a correção estiver disponível, combinamos com você a data e o texto. Se o problema afetar clientes, avisamos os clientes antes. Com a sua autorização, damos crédito pelo nome ou apelido que você escolher.
Recompensas
Ainda não temos programa de recompensas em dinheiro. Planejamos um programa privado de bug bounty; quem reportar problemas relevantes por esta política será convidado primeiro.
Atualizações
Podemos atualizar esta política. A versão que vale para um relato é a da data em que ele foi enviado. O arquivo security.txt aponta para esta página.