A Bases leva a sério a segurança dos seus sistemas e agradece a quem encontra e relata uma possível vulnerabilidade que os afete.
Esta política explica como relatar à Bases uma suspeita de vulnerabilidade e o que pedimos no relato, para podermos analisar e responder.
1. Como relatar
Envie o relato para security@trybases.com, com, no mínimo:
- a descrição da possível vulnerabilidade e do impacto que ela pode ter;
- os passos para reproduzir o problema; e
- um contato seu.
Se tiver, inclua também o que ajude a confirmar o problema: capturas de tela, registros, código de prova de conceito, endereços afetados, endereços IP, exemplos de requisição e de resposta ou sugestões de correção.
A Bases procura confirmar o recebimento ou responder ao relato inicial em até 5 dias úteis.
2. Escopo
Esta política vale para possíveis vulnerabilidades que afetem *.trybases.com, o que inclui o site trybases.com e a plataforma platform.trybases.com.
Relatos que digam respeito só a produtos, serviços ou infraestrutura de terceiros, que a Bases não controla, ficam fora desta política, a menos que mostrem que o problema vem do código, da configuração ou da implementação da própria Bases.
3. Fora do escopo
Ficam fora desta política:
- engenharia social, phishing ou tentativas de se passar por outra pessoa;
- problemas de segurança física;
- ataques de negação de serviço, distribuídos ou não;
- spam, força bruta, teste de senhas vazadas ou ataques automatizados de volume;
- malware, ransomware ou cargas destrutivas;
- problemas que envolvam só serviços ou aplicativos de terceiros, que a Bases não possui nem controla; e
- relatos sem detalhes suficientes para a Bases reproduzir ou avaliar o problema.
4. O que esperamos de quem relata
Ao procurar e relatar uma possível vulnerabilidade na Bases, pedimos que você:
- aja de boa-fé;
- dê informações exatas e completas;
- evite qualquer atividade que interrompa, degrade ou prejudique os sistemas ou os serviços da Bases;
- não acesse, use, altere, divulgue nem apague dados que não sejam seus; e
- relate o problema à Bases de forma privada e dê a ela um prazo razoável para analisar e corrigir antes de qualquer divulgação pública.
Se, sem querer, você tiver acesso a dados pessoais de outras pessoas, pare, não guarde nem compartilhe esses dados e conte isso no relato.
5. Sem compromisso de recompensa
A Bases pode, a seu critério, reconhecer ou recompensar alguns relatos válidos. Ela não tem obrigação de oferecer recompensa, e a decisão de oferecer, e de quanto, cabe só a ela.
6. Proteção para quem relata de boa-fé
Se você se esforçar de boa-fé para cumprir esta política ao procurar e relatar uma possível vulnerabilidade, a Bases não tomará medidas judiciais contra você com base apenas na sua participação neste processo.
Essa proteção vale só se as suas atividades:
- se limitarem ao que está no escopo desta política (seção 2);
- cumprirem as restrições e o que esperamos de quem relata (seções 3 e 4);
- não envolverem acessar, usar, alterar, divulgar ou apagar dados que não sejam seus;
- não interromperem, degradarem nem prejudicarem os sistemas ou os serviços da Bases; e
- forem relatadas logo e de forma privada à Bases, em security@trybases.com.
A proteção não vale para condutas fora do escopo desta política, que causem dano à Bases ou a terceiros, que envolvam sistemas ou dados de terceiros ou que, de qualquer outra forma, violem a lei aplicável. A Bases se reserva todos os direitos quanto a condutas fora do escopo desta política.
7. Divulgação pública
Pedimos que você não divulgue publicamente uma possível vulnerabilidade antes de a Bases ter tido um prazo razoável para investigar e corrigir o problema.
8. Reserva de direitos
Cabe só à Bases decidir:
- se um problema relatado é uma vulnerabilidade de segurança;
- se o relato está no escopo desta política;
- o que fará em resposta, se fizer algo; e
- se oferecerá algum reconhecimento ou recompensa.
9. Contato
Dúvidas sobre esta política podem ser enviadas para security@trybases.com.