Política de Divulgação de Vulnerabilidades
Agradecemos as comunicações de investigadores de segurança e de utilizadores que descubram uma vulnerabilidade no Mailistix. A presente política explica como comunicar uma vulnerabilidade, o que pode e o que não pode fazer durante a investigação e o que pode esperar de nós.
1. Âmbito
Abrangido:
- a aplicação de ambiente de trabalho Mailistix para macOS e Windows, na última versão publicada;
- os Serviços na Nuvem do Mailistix operados por nós, ou seja, as funções de servidor e as interfaces que a aplicação invoca;
mailistix.come os seus subdomínios operados por nós.
Não abrangido:
- serviços operados por terceiros (por exemplo, Google, Microsoft, a própria plataforma da Supabase, Polar, Cloudflare, Sentry, PostHog). Comunique essas situações ao respetivo fornecedor;
- constatações que exijam acesso físico a um dispositivo desbloqueado, um dispositivo com jailbreak ou root, ou uma conta de sistema operativo já comprometida;
- testes de negação de serviço, testes de carga, spam, engenharia social e ataques físicos;
- comunicações baseadas em analisadores automáticos (scanners) sem impacto demonstrado; ausência de cabeçalhos de boas práticas sem uma exploração concreta; self-XSS; clickjacking em páginas sem ações sensíveis; observações sobre limites de frequência de pedidos sem impacto.
2. Como comunicar
Envie um e-mail para legal@mailistix.com com um assunto que comece por Security:, em inglês ou em alemão. O nosso security.txt indica o mesmo contacto. Inclua, por favor:
- o componente afetado (aplicação de ambiente de trabalho com o sistema operativo e a versão, ou o ponto de acesso);
- o impacto e os passos ou uma prova de conceito que permitam reproduzi-la;
- se considera que a vulnerabilidade está a ser explorada;
- como podemos entrar em contacto consigo.
Não inclua e-mails, palavras-passe ou tokens de outras pessoas. Se a sua comunicação exigir material sensível, diga-nos e acordaremos uma forma segura de o partilhar.
3. Regras para a investigação
Durante a investigação, o utilizador deve:
- utilizar apenas contas e caixas de correio que lhe pertençam ou que esteja expressamente autorizado a utilizar;
- não aceder a dados que não sejam seus, nem os copiar, alterar ou eliminar; se aceder a esses dados por acidente, deve parar, não os conservar e informar-nos;
- não degradar o serviço para outros (sem negação de serviço, sem automatização em massa, sem ataques de força bruta contra contas de outros utilizadores);
- não utilizar as Funcionalidades de IA para extrair dados de outros utilizadores ou para atacar terceiros;
- não explorar uma constatação para além do necessário para a demonstrar;
- dar-nos um prazo razoável para corrigir o problema antes de o divulgar (sugerimos 90 dias, ou menos por acordo) e coordenar a publicação connosco.
4. Porto seguro
Se atuar de boa-fé e cumprir a presente política, consideraremos a sua investigação autorizada, não intentaremos contra si qualquer ação cível nem apresentaremos queixa às autoridades policiais por esse motivo, e não invocaremos contra si, relativamente a essa investigação, as cláusulas de proibição de contornar proteções ou de engenharia inversa dos nossos Termos ou do EULA. Se um terceiro intentar uma ação judicial contra si por uma investigação que tenha cumprido a presente política, tornaremos público que os seus atos foram autorizados por nós. Este porto seguro não abrange atividades que violem a lei, e não podemos autorizar testes a sistemas de terceiros.
5. O que pode esperar de nós
- Confirmamos a receção da sua comunicação no prazo de 5 dias úteis.
- Mantemos o utilizador informado sobre a nossa avaliação e a correção.
- Se o desejar, damos-lhe crédito nas nossas notas de versão.
- Não divulgamos a sua identidade a terceiros sem o seu consentimento, exceto se a lei o exigir.
- Se a vulnerabilidade se situar num componente de um terceiro, podemos transmitir os pormenores técnicos a esse terceiro para que a possa corrigir.
- Sempre que a lei o exija, em especial o artigo 14.º do Regulamento de Ciber-Resiliência da UE (Regulamento (UE) 2024/2847), comunicamos as vulnerabilidades ativamente exploradas às autoridades competentes (a CSIRT coordenadora e a ENISA).
- Utilizamos os dados pessoais constantes da sua comunicação apenas para tratar a comunicação e a correção, conforme descrito na nossa Política de Privacidade.
- Atualmente, não temos um programa pago de recompensas por vulnerabilidades (bug bounty).
6. Incidentes de segurança que afetem os seus dados
Se for utilizador do Mailistix e considerar que a sua conta ou os seus dados foram comprometidos, contacte imediatamente legal@mailistix.com. A forma como tratamos as violações de dados pessoais está descrita na nossa Política de Privacidade.