Divulgação responsável

Divulgação Responsável / Divulgação de Vulnerabilidades

Reporte possíveis vulnerabilidades de segurança de forma segura e responsável. Use o canal de segurança dedicado e siga os guardrails abaixo para evitar danos a clientes, sistemas, provedores ou dados do Verbum.

Reportar um problema de segurançaVer security.txtContatar segurança

Divulgação responsável

Reporte com segurança, minimize o impacto e pare quando o risco for confirmado.

Esta política explica como pesquisadores, clientes e equipes de compras podem reportar suspeitas de vulnerabilidade sem prejudicar clientes, sistemas, provedores ou dados do Verbum. Use apenas suas próprias contas autorizadas, mantenha os testes no mínimo e evite atividades que possam afetar disponibilidade, confidencialidade ou integridade.

Escopo

O que o Verbum pode analisar

  • Páginas públicas e fluxos públicos documentados em vrbm.app.
  • Comportamento de autenticação e autorização visível na sua própria conta legítima.
  • Controles de segurança descritos nas páginas públicas de Segurança e da Central de Confiança.
  • Limites por tenant representados apenas na sua própria conta de teste ou em um workspace explicitamente autorizado.
Visão geral de segurançaAbrir materiais de confiança

Testes permitidos

  • Validar comportamento documentado publicamente e controles de acesso sem alterar dados de produção.
  • Documentar suspeitas de problemas de rate limiting, tratamento de erros ou segurança de transporte sem testes de alto volume.
  • Verificar limites de papéis e o comportamento do fluxo de aprovação apenas em contas e workspaces que você está autorizado a usar.
  • Verificar o isolamento de tenants apenas com seus próprios dados de teste e parar imediatamente se dados de terceiros aparecerem.

Fora do escopo e testes proibidos

  • Testes destrutivos, payloads inseguros, modificação de dados, malware, criptomineração, persistência ou backdoors.
  • Engenharia social, phishing, spam, abuso de canais de mensagens ou contato com clientes do Verbum.
  • DDoS, testes de estresse, picos de tráfego, esgotamento de recursos ou atividade que possa afetar a disponibilidade.
  • Força bruta, credential stuffing, password spraying ou abuso automatizado de autenticação.
  • Acessar, copiar, coletar, raspar (scraping) ou exfiltrar dados de clientes, funcionários ou terceiros.
  • Ataques físicos, testes em escritórios/instalações, roubo de dispositivos ou tentativas de acesso a instalações não públicas.
  • Testar provedores terceiros, fluxos de pagamento ou integrações sem autorização separada do respectivo provedor.

Status de safe harbor

Esta página pública não constitui, por si só, safe harbor legal, renúncia ou autorização para acessar sistemas além do escopo aqui descrito. Relatos de boa-fé que sigam esta política são bem-vindos, mas os pesquisadores continuam responsáveis por cumprir a legislação aplicável e obter qualquer autorização necessária para seus testes.

O que não fazer

  • Não acesse, copie, modifique ou exclua dados de clientes, funcionários ou terceiros.
  • Não continue testando após confirmar uma vulnerabilidade ou cruzar um limite de tenant.
  • Não execute scanners ou testes automatizados que gerem volume, ruído, spam ou risco de disponibilidade.
  • Não divulgue detalhes publicamente antes que o Verbum tenha tido oportunidade razoável de analisar e corrigir.

Como reportar com responsabilidade

Reporte com detalhes reproduzíveis

O que incluir

  • URL, rota, funcionalidade ou fluxo público afetado.
  • Passos claros para reproduzir usando dados de teste seguros e não destrutivos.
  • Comportamento esperado, comportamento observado e impacto potencial.
  • Capturas de tela, gravações de tela ou logs com segredos e dados pessoais removidos.
  • Seus dados de contato preferidos para perguntas de acompanhamento.

Guardrails de testes não destrutivos

Não tente afetar a disponibilidade do serviço, degradar a entrega de mensagens, forçar mudanças de estado de conta/sessão, copiar dados de terceiros ou continuar testando após a confirmação de um problema de limite. Use dados de teste controlados e suas próprias contas explicitamente autorizadas.

  • Este não é um programa de bug bounty pago, a menos que o Verbum publique separadamente uma política de recompensa por escrito.
  • Os relatos podem ser enviados em inglês ou português.
  • O Verbum analisa os relatos com base em risco, reprodutibilidade e contexto disponível. Esta política pública não promete SLA de resposta.

Expectativas de resposta

O que acontece depois de um relato

  • O Verbum analisa os relatos com base em risco, reprodutibilidade e contexto disponível.
  • Podemos pedir esclarecimentos, URLs afetadas, capturas de tela ou detalhes adicionais de reprodução.
  • Esta política pública não promete SLA de resposta, prazo de correção ou recompensa paga.
  • Os materiais de revisão de segurança para clientes continuam disponíveis por revisão qualificada de compras ou segurança.

Contato jurídico e de segurança

Reporte um problema de segurança ou solicite revisão de segurança.

Use o canal de segurança dedicado para relatos de vulnerabilidade. Solicitações de revisão de segurança de compras e de clientes podem usar o formulário de contato para que o pedido seja encaminhado com o contexto certo.

Reportar um problema de segurançaReportar pelo e-mail de segurançaLer política de segurança

Para termos de privacidade, jurídicos e de retenção, combine esta página com nossa Política de Privacidade, a Visão Geral do Tratamento de Dados e o documento de Subprocessadores. Política de Privacidade, Visão Geral do Tratamento de Dados, Subprocessadores.