Nosso Programa de Divulgação de Vulnerabilidades tem como objetivo minimizar o impacto de qualquer falha de segurança identificada na plataforma Atendize ou em nossos sistemas, protegendo nossos usuários e seus dados. Para ser acolhido pelo Programa, a vulnerabilidade deve afetar a versão pública mais recente da plataforma. Somente serão consideradas falhas de segurança efetivas.
Diretrizes e Limitações de Escopo
Antes de relatar uma vulnerabilidade, revise atentamente as regras, o escopo e as limitações descritas a seguir. Para diferenciar pesquisa de boa-fé de ataque malicioso, solicitamos que você:
- Siga este Programa de Divulgação, bem como nossos Termos de Uso e demais políticas aplicáveis;
- Não cause danos, interrompa o funcionamento da plataforma ou aja em desacordo com nossos Termos de Uso;
- Acesse apenas o mínimo estritamente necessário para demonstrar a falha — não acesse, visualize ou modifique dados de terceiros;
- Caso a vulnerabilidade forneça acesso não intencional a dados alheios, interrompa imediatamente os testes, elimine quaisquer informações salvas localmente e envie o relatório;
- Não comprometa a privacidade de usuários, a estabilidade dos sistemas, a integridade de dados nem a experiência de uso;
- Mantenha os detalhes da vulnerabilidade confidenciais até que seja corrigida e divulgada de forma coordenada — forneça prazo razoável de 90 dias para correção antes de qualquer divulgação pública;
- Cumpra toda a legislação aplicável, especialmente a Lei Geral de Proteção de Dados (LGPD) e normas de segurança cibernética;
- Utilize exclusivamente os canais oficiais indicados para relatar e discutir vulnerabilidades conosco.
A pesquisa de vulnerabilidade conduzida de boa-fé e dentro das regras deste Programa será considerada:
- Autorizada — não adotaremos medidas legais por violações acidentais decorrentes da pesquisa;
- Isenta de restrições contratuais — as limitações de uso previstas em nossos Termos de Uso não se aplicam de forma a impedir a pesquisa conduzida conforme este Programa;
- Legal e de interesse público — desde que conduzida com respeito a estes termos.
Reservamo-nos o direito de não acolher descobertas sem risco real comprovado à segurança ou integridade de dados. Qualquer pesquisa que viole estas diretrizes, nossos Termos de Uso, a legislação vigente ou boas práticas de segurança será tratada como atividade maliciosa e ilegal. A eventual concessão de recompensa fica a nosso critério e não constitui obrigação.
Em caso de dúvida sobre se sua pesquisa está dentro do escopo e das regras, envie relatório prévio pelo canal oficial antes de prosseguir.
Escopo
Estão incluídos no escopo do Programa:
- Plataforma e infraestrutura do Atendize e sites oficiais da Hostus;
- Subdomínios e serviços associados;
- Qualquer componente com impacto direto e comprovado na postura de segurança de nossos sistemas.
Não se aplica a sistemas de terceiros, como WhatsApp, Instagram, Google, gateways de pagamento, que possuem suas próprias políticas.
Fora do Escopo
Não serão consideradas ou recompensadas descobertas que se enquadrem em qualquer destes casos:
- Resultados obtidos exclusivamente por meio de ferramentas ou varreduras automatizadas sem prova de conceito manual;
- Problemas sem impacto comprovado à segurança — como recomendações de boas práticas, cabeçalhos ausentes, mensagens de erro descritivas, entre outros;
- Ataques que visem ou possam causar indisponibilidade de serviço (negação de serviço, força bruta, pulverização de senhas, envio em massa...);
- Acesso, alteração, destruição ou divulgação de dados de terceiros;
- Tentativas de validação de credenciais, reutilização de senhas, aquisição de contas ou sequestro de sessões;
- Testes físicos, engenharia social ou ataques direcionados a funcionários, escritórios ou redes internas;
- Vulnerabilidades em serviços, bibliotecas ou plataformas de terceiros integradas ao Atendize, sem prova de conceito demonstrável aplicável ao nosso sistema;
- Falhas introduzidas propositalmente pelo próprio pesquisador;
- Testes realizados em sistemas não incluídos expressamente no escopo;
- Recomendações genéricas de melhoria, sem falha de segurança comprovada;
- Problemas de configuração de correio eletrônico (SPF, DKIM, DMARC) sem risco comprovado;
- Recomendações de ajustes em protocolos de criptografia sem prova de exploração;
- Varreduras simples de portas ou endereços IP, reconhecimento de infraestrutura sem vulnerabilidade comprovada;
- Técnicas de phishing, typosquatting ou engenharia social aplicada a usuários ou funcionários.
Como Relatar uma Vulnerabilidade
Envie sua descoberta com:
- Resumo detalhado — descrição da falha, alvo e impacto estimado;
- Passo a passo de reprodução — procedimento completo para reproduzir a falha;
- Ambiente e ferramentas utilizadas — configuração, versões e recursos empregados;
- Provas e artefatos — capturas, registros, arquivos ou documentos que demonstrem a vulnerabilidade.
Não inclua dados de terceiros nem informações sensíveis no relatório.
Canal Oficial de Denúncia
Envie o relatório para: seguranca@hostus.com.br
O Que Oferecemos
- Confirmação de recebimento em até 48h;
- Atualizações sobre status e correção;
- Reconhecimento (mediante acordo) em nossa página de agradecimentos;
- Possibilidade de recompensa em casos de impacto crítico, a critério da Hostus.
O Que É Proibido
- Exploração de vulnerabilidade para acesso não autorizado;
- Divulgação pública sem correção concluída;
- Ataques de negação de serviço (DDoS);
- Phishing ou engenharia social contra funcionários ou clientes.
