Divulgação responsável
Achou uma falha? Fale com a gente.
O programa de bug bounty da FacinhoSmurfs recompensa quem encontra uma vulnerabilidade nos nossos sistemas e nos avisa com responsabilidade, antes de qualquer divulgação pública.
- Porto seguro para quem seguir as regras
- Recompensa em dinheiro, conforme o impacto
- Recompensa
- Em dinheiroConforme o impacto da falha e a qualidade do relato
- Porto seguro
- Boa-fé protegidaPara quem seguir as regras desta página
Sobre o programa
Pagamos, agradecemos e damos crédito público a quem nos ajuda a proteger as contas, os dados e os pagamentos dos nossos clientes.
O que é
Um canal aberto para pesquisadores de segurança relatarem falhas de forma privada. Cada relato válido é triado, corrigido e, conforme o impacto, recompensado em dinheiro.
Para quem é
Qualquer pessoa que pesquise segurança de forma ética: estudantes, profissionais, caçadores de bug. Não precisa ser cliente nem ter conta.
Regras principais
- Teste o que está no escopo.
- Use contas e dados seus.
- Pare assim que provar a falha e nos avise.
Escopo
O que você pode testar.
Pode testar
www.facinhosmurfs.com.br, a lojaapi.facinhosmurfs.com.br, a APImercado.facinhosmurfs.com.br, o Marketplace (BETA), a partir do lançamento- Os painéis administrativo e de clientes
Regras
Siga estas regras para estar protegido pelo porto seguro.
Boa-fé
- Use apenas contas e dados seus para testar.
- Pare assim que provar que a falha existe, sem aprofundar.
- Acesse dados de outras pessoas só no mínimo necessário para provar a falha.
- Envie o relato com passos, impacto e prova.
- Combine conosco antes de divulgar qualquer detalhe.
Recompensas
A recompensa é paga em dinheiro, conforme o impacto da falha e a qualidade do relato. Em duplicatas, vale o primeiro relato válido. Falhas de menor impacto entram no hall da fama.
O que nos interessa
- Execução remota de código e acesso em massa a dados de clientes.
- Fraude em pagamento ou saldo.
- Acesso a dados de outro usuário, tomada de conta e injeção com impacto real.
- XSS armazenado, falha de autorização e vazamento de informação.
Porto seguro
Se você agir de boa-fé e seguir as regras desta página, não vamos processar você nem acionar as autoridades por causa da pesquisa, e vamos trabalhar com você para entender e corrigir o problema. Isso vale para o escopo acima.
Como entrar em contato
Relatos de segurança vão por e-mail, em canal separado do suporte da loja.
O botão acima já abre o e-mail com um modelo de relato. Também aceitamos relatos em inglês.
Contato legível por máquina: security.txt
O que mandar no relatório
- Resumo da falha em uma frase e onde ela está (URL, endpoint ou painel).
- Passos para reproduzir, na ordem.
- Impacto: o que um atacante conseguiria fazer.
- Prova: captura de tela, vídeo ou requisição, sem dados de outras pessoas.
- Seu nome ou apelido, se quiser aparecer no hall da fama.
Você nos envia o relato por e-mail, com passos, impacto e prova.
Avaliamos o impacto, mantemos você informado e combinamos a recompensa.
Com o seu aceite, damos crédito público a quem ajudou.
Perguntas frequentes
Preciso ser cliente para participar?
Não. Qualquer pesquisador pode participar, desde que siga as regras.
Posso testar com a minha própria conta?
Sim, e é o recomendado. Use só contas e dados seus. Para provar uma falha que alcança dados de outros, pare no mínimo necessário e nos avise.
Como vou saber se o relato foi aceito?
Respondemos por e-mail. Depois da triagem informamos o impacto avaliado e a recompensa.
A recompensa é em dinheiro?
Sim. O valor depende do impacto da falha e da qualidade do relato.
Posso publicar o que achei?
Combine conosco antes. Divulgamos juntos, de comum acordo.
Hall da fama
Ainda não há ninguém aqui. O primeiro relato válido abre a lista, com o nome ou apelido que você escolher.