Política de divulgação de vulnerabilidades

Atualizado em: 3 de dezembro de 2021

Encontrou uma vulnerabilidade? Conta pra gente para que possamos corrigi-la.

Introdução

Nós nos dedicamos a escrever um código impecável e sem bugs, mas, como qualquer engenheiro de software vai entender, isso não é possível na maioria dos casos. É por isso que este Programa de Divulgação de Vulnerabilidades existe. O documento a seguir descreve as diretrizes do nosso programa, o que você deve testar e que tipo de testes deve evitar. Ele também explica como relatar problemas e as recompensas por fazê-lo.

Diretrizes

As regras são simples:

Avise-nos o mais rápido possível após descobrir um problema de segurança real ou potencial.
Faça todo o possível para evitar violações de privacidade, degradação da experiência do usuário, interrupção de sistemas em produção e destruição ou manipulação de dados.
Use exploits apenas na medida necessária para confirmar a presença de uma vulnerabilidade.
Dê-nos um prazo razoável para resolver o problema antes de divulgá-lo publicamente.
Não envie um grande volume de relatórios de baixa qualidade.

Escopo

O escopo deste programa inclui o seguinte:

Site - windscribe.com
API - api.windscribe.com
Endpoints de VPN
Aplicativo para Windows
Aplicativo para MacOS
Aplicativo para Android
Aplicativo para iOS
Extensão para Chrome
Extensão para Firefox

O que evitar

Durante a caça aos bugs, evite o seguinte:

Realizar ataques DDoS na nossa infraestrutura
Brute forcing
Engenharia social
Exfiltrar grandes quantidades de dados

Nossa resposta

Depois de enviar um relatório, você pode esperar uma resposta nossa em até 48 h, mas geralmente bem menos. Vamos tentar reproduzir o problema e implantar uma correção o mais rápido possível. Na maioria dos casos isso acontece bem rápido, mas em casos de vulnerabilidades no nível da aplicação que exigem uma atualização, pode levar mais tempo. Isso deveria ser óbvio, mas vamos dizer mesmo assim: nós não vamos processar você por nos divulgar problemas.

Recompensa por bugs

Se o seu relatório for verificado e considerado um problema, você tem direito a uma compensação pelos seus esforços. O valor exato depende exclusivamente da gravidade do problema, conforme determinado por nós. Historicamente, já pagamos entre US$ 100 e US$ 5.000 por vulnerabilidades divulgadas.

Como relatar

Para divulgar um problema, envie um e-mail para security (AT) windscribe.com. Você pode encontrar nossa chave PGP aqui. Seja o mais descritivo possível e forneça os passos exatos para reproduzir o problema.

Divulgação de vulnerabilidades

Caso seja descoberto um problema crítico de amplo impacto, vamos notificar todos os usuários afetados por 4 canais de comunicação: notificações dentro dos nossos aplicativos, e-mail (se um e-mail tiver sido fornecido no cadastro), Twitter e Reddit. Uma análise completa do problema e da solução será publicada no nosso blog. Exemplo de divulgação voluntária.