Reportar vulnerabilidades
Se você encontrou uma falha de segurança no Cord, queremos saber. Este é o nosso programa de divulgação responsável: como reportar, o que está dentro do escopo e o que nos comprometemos a fazer.
Como reportar
Escreva para security@flouvia.com com:
- O que você encontrou e por que é importante (o que alguém poderia fazer com isso).
- Os passos exatos para reproduzir, com as URLs, as requisições ou o código de prova de conceito.
- A conta ou o ambiente em que você testou.
Use uma conta própria e, se possível, o ambiente de teste (chaves sk_test_ / pk_test_). Se, ao testar, você chegar a dados de outra organização, pare, não os guarde nem os compartilhe e conte para nós o que conseguiu ver.
O mesmo contato está publicado em /.well-known/security.txt.
Escopo
cordhq.app, incluídas a API emcordhq.app/apie os subdomíniosbilling.,docs.edev..- As superfícies públicas: o link do orçamento (
/q), a fatura hospedada (/i) e o gerador de orçamentos incorporado (/embed). - Os pacotes publicados:
@flouviahq/elements,@flouviahq/nodee@flouviahq/cli.
Fora do escopo: ataques de negação de serviço ou de volume, engenharia social contra a equipe ou os clientes do Cord, acesso físico, spam ou testes automatizados que gerem carga em contas que não são suas, e descobertas sem impacto demonstrável (por exemplo, cabeçalhos ausentes sem um cenário de ataque).
O que nos comprometemos a fazer
- Confirmar o recebimento em no máximo 3 dias úteis.
- Dar uma avaliação inicial e manter você informado enquanto corrigimos.
- Avisar quando estiver corrigido e combinar com você quando o caso pode ser publicado.
- Dar crédito público a você, se quiser.
Porto seguro
Se você agir de boa-fé dentro deste escopo, não acessar nem guardar mais dados do que o necessário para demonstrar a falha e nos der um tempo razoável para corrigi-la antes de publicá-la, não tomaremos medidas legais contra você pela sua pesquisa.
Recompensas
Hoje não pagamos recompensas em dinheiro. Se isso mudar, publicaremos nesta página.