Programa de Divulgação de Vulnerabilidades

O Que Está no Escopo

Teste apenas o seguinte:

• Nosso site em talismanleads.io e seus subdomínios, incluindo as páginas de login, conta, cobrança e ferramentas grátis.
• Nosso bot do Telegram, @TalismanLeadsV1bot.
• As APIs do próprio site, quando acessadas pela sua própria conta.

Se tiver dúvidas sobre se algo é nosso, pergunte antes de testar.

O Que Está Fora do Escopo

Não envie relatórios sobre:

• Serviços operados por outras empresas, como Telegram, Cloudflare, redes de pagamento e o widget de chat ao vivo. Relate esses casos aos respectivos responsáveis.
• Contas e dados de outros clientes.
• O que nossos verificadores e ferramentas grátis foram criados para fazer, como informar se um número ou endereço de e-mail tem uma conta.
• Se um endereço de e-mail ou nome de usuário já está cadastrado conosco, nas páginas de cadastro, login ou redefinição de senha.
• Registros de e-mail (SPF, DKIM, DMARC, BIMI), DNSSEC ou CAA ausentes ou fracos, e domínios de aparência semelhante.
• Cabeçalhos de segurança ausentes (CSP, HSTS, X-Frame-Options e similares), flags de cookies e configurações de SSL/TLS, como a escolha de cifras, a menos que você demonstre um ataque funcional.
• Nomes de software e números de versão, banners de servidor e arquivos públicos como robots.txt, o sitemap ou security.txt.
• Chaves que devem ser públicas, como as chaves de CAPTCHA, de análise e de cliente de navegador no código-fonte de uma página.
• Self-XSS, clickjacking ou CSRF em páginas sem ação sensível, CSRF de logout, redirecionamentos abertos sem outro impacto, tabnabbing e injeção de texto que não executa nenhum script.
• Limites de taxa em páginas e formulários públicos, incluindo a sobrecarga de e-mails ou cadastros, a menos que permitam que alguém assuma o controle de uma conta ou gaste dinheiro.
• Regras de senha, duração da sessão e o fato de a autenticação de dois fatores ser opcional ou inexistente.
• Ataques que exigem acesso físico, um dispositivo com root ou jailbreak, um navegador desatualizado ou uma vítima já comprometida.
• Phishing, engenharia social e negação de serviço.
• Senhas e outros dados de vazamentos de outros sites, a menos que funcionem no nosso.
• Resultados de scanners automatizados ou ferramentas de IA sem uma prova funcional, e recomendações de boas práticas sem impacto de segurança.
• Bugs sem impacto de segurança e dúvidas sobre sua conta ou cobrança. Para isso, use a página de contato.

Podemos encerrar relatórios sobre esses itens sem resposta.

Como Testar com Segurança

• Use apenas contas que você mesmo criou e apenas números e endereços de e-mail que sejam seus ou que você tenha permissão para usar.
• Não leia, altere nem exclua dados que não sejam seus. Se você acessar dados de outra pessoa, pare, não guarde nenhuma cópia e nos avise.
• Não faça testes de negação de serviço, não sobrecarregue formulários, não envie spam nem deixe o serviço lento para outras pessoas.
• Não tente enganar nossa equipe ou nossos clientes e não tente ataques físicos.
• Se um problema der a você saldo ou serviços pagos, use apenas o necessário para demonstrá-lo e nos avise para que possamos reverter.
• Mantenha o problema em sigilo até que ele seja corrigido e tenhamos combinado a divulgação.

O Que Incluir no Seu Relatório

• Qual é o problema e o que um invasor poderia fazer com ele.
• A página, a rota de API ou o comando do bot afetado.
• As etapas para reproduzi-lo, com capturas de tela ou uma prova de conceito.
• Como falar com você e, se desejar, o nome com que gostaria de receber o crédito.

Não inclua dados pessoais de outras pessoas no seu relatório.

O Que Você Pode Esperar de Nós

• Confirmamos o recebimento de relatórios dentro do escopo em até 5 dias úteis.
• Verificamos o problema e informamos se conseguimos reproduzi-lo e quais são os próximos passos.
• Informamos você sobre o andamento enquanto trabalhamos nele e avisamos quando for corrigido.
• Se você quiser, damos o crédito a você quando escrevermos sobre a correção.

Proteção Legal (Safe Harbor)

Se você agir de boa-fé e seguir esta política, consideramos sua pesquisa autorizada. Não tomaremos medidas legais contra você nem denunciaremos você às autoridades por isso. Se um terceiro tomar medidas contra você por causa disso, deixaremos claro que você agiu de acordo com esta política.

Isso cobre apenas os sistemas do próprio TalismanLeads. Não podemos autorizar testes nos sistemas de mais ninguém. Se tiver dúvidas sobre se algo é permitido, consulte-nos primeiro.

Divulgação Pública

Dê-nos um prazo razoável para corrigir um problema antes de publicar qualquer coisa sobre ele. Nosso objetivo é resolver os problemas confirmados em até 90 dias, e combinaremos uma data com você. Alguns problemas levam mais tempo, e avisaremos você se for o caso do seu.

Recompensas

Este é um programa de divulgação, não um programa de bug bounty, portanto não pagamos por relatórios. Somos gratos pela sua ajuda e temos prazer em dar o crédito a você por ela. Relatórios que pedem pagamento antes de compartilhar os detalhes são encerrados sem resposta.

Depois que o problema for corrigido, também podemos citar você no nosso Hall da Fama, com o que você encontrou. Só citamos você com a sua permissão, e você pode nos pedir para remover sua entrada a qualquer momento.