Política de Divulgação de Vulnerabilidades
Recebemos com satisfação os relatos de pesquisadores de segurança e de usuários que encontrarem uma vulnerabilidade no Mailistix. Esta política explica como relatar uma vulnerabilidade, o que você pode e o que não pode fazer durante a pesquisa e o que você pode esperar de nós.
1. Escopo
Dentro do escopo:
- o aplicativo de desktop Mailistix para macOS e Windows, na última versão lançada;
- os Serviços em Nuvem do Mailistix operados por nós, ou seja, as funções de servidor e as interfaces que o aplicativo chama;
mailistix.come seus subdomínios operados por nós.
Fora do escopo:
- serviços operados por terceiros (por exemplo Google, Microsoft, a própria plataforma da Supabase, Polar, Cloudflare, Sentry, PostHog). Relate essas questões ao respectivo provedor;
- constatações que exijam acesso físico a um dispositivo desbloqueado, um dispositivo com jailbreak ou root, ou uma conta de sistema operacional já comprometida;
- testes de negação de serviço, testes de carga, spam, engenharia social e ataques físicos;
- relatos de scanners automatizados sem impacto demonstrado; ausência de cabeçalhos de boas práticas sem uma exploração concreta; self-XSS; clickjacking em páginas sem ações sensíveis; observações sobre limites de requisições sem impacto.
2. Como relatar
Envie um email para legal@mailistix.com com um assunto que comece por Security:, em inglês ou alemão. Nosso arquivo security.txt indica o mesmo contato. Inclua, por favor:
- o componente afetado (aplicativo de desktop com o sistema operacional e a versão, ou o endpoint);
- o impacto e os passos ou uma prova de conceito para reproduzi-lo;
- se você acredita que a vulnerabilidade está sendo explorada;
- como podemos entrar em contato com você.
Não inclua emails, senhas ou tokens de outras pessoas. Se o seu relato exigir material sensível, avise-nos e combinaremos uma forma segura de compartilhá-lo.
3. Regras para a pesquisa
Durante a pesquisa, você deve:
- usar somente contas e caixas de correio que sejam suas ou que você esteja expressamente autorizado a usar;
- não acessar, copiar, alterar nem excluir dados que não sejam seus; se você acessar esses dados por acidente, pare, não os guarde e informe-nos;
- não degradar o serviço para outras pessoas (sem negação de serviço, sem automação em massa, sem força bruta contra contas de outros usuários);
- não usar os Recursos de IA para extrair dados de outros usuários ou para atacar terceiros;
- não explorar uma constatação além do necessário para demonstrá-la;
- conceder-nos um prazo razoável para corrigir o problema antes de divulgá-lo (sugerimos 90 dias, ou menos, por acordo) e coordenar a publicação conosco.
4. Porto seguro (safe harbor)
Se você agir de boa-fé e seguir esta política, consideraremos a sua pesquisa autorizada, não ajuizaremos ação cível contra você nem apresentaremos notícia-crime às autoridades por causa dela, e não invocaremos contra você, por essa pesquisa, as cláusulas de proibição de contornar medidas de proteção ou de engenharia reversa dos nossos Termos ou do EULA. Se um terceiro tomar medidas judiciais contra você por pesquisa que tenha cumprido esta política, deixaremos claro que as suas ações foram autorizadas por nós. Este porto seguro não abrange atividades que violem a lei, e não podemos autorizar testes em sistemas de terceiros.
5. O que você pode esperar de nós
- Confirmamos o recebimento do seu relato em até 5 dias úteis.
- Mantemos você informado sobre a nossa avaliação e a correção.
- Damos crédito a você nas nossas notas de versão, se você desejar.
- Não compartilhamos a sua identidade com terceiros sem o seu consentimento, salvo se a lei o exigir.
- Se a vulnerabilidade estiver em um componente de um terceiro, podemos repassar os detalhes técnicos a esse terceiro para que ele possa corrigi-la.
- Quando a lei o exigir, em particular o art. 14 da Regulamento de Resiliência Cibernética da UE (Regulamento (UE) 2024/2847), comunicamos ativamente as vulnerabilidades exploradas às autoridades competentes (o CSIRT coordenador e a ENISA).
- Usamos os dados pessoais constantes do seu relato apenas para analisar o relato e providenciar a correção, conforme descrito na nossa Política de Privacidade.
- Atualmente não mantemos um programa de recompensas financeiras por vulnerabilidades (bug bounty).
6. Incidentes de segurança que afetam os seus dados
Se você é usuário do Mailistix e acredita que a sua conta ou os seus dados foram comprometidos, entre em contato imediatamente com legal@mailistix.com. O modo como tratamos violações de dados pessoais está descrito na nossa Política de Privacidade.