Divulgação responsável: conte para a gente antes.
Achou uma falha de segurança no site, no painel ou na API? Conte para a gente antes de contar para o mundo. Aqui está como reportar e o que você pode esperar de nós.
O essencial
Cinco pontos para quem quer reportar sem perder tempo.
- Qualquer pessoa pode reportar. Escreva para security@ccxmessages.com.
- Nada de acessar dados de clientes, derrubar serviço, enviar spam ou enganar pessoas.
- Valem o site, o painel e a API do CCX Messages. Serviços de terceiros ficam de fora.
- Confirmamos o recebimento em até 5 dias úteis e mantemos você informado até a correção.
- Pesquisa de boa-fé dentro destas regras não vira processo nem denúncia da nossa parte.
O que está no escopo
Esta política vale para os sistemas que nós mesmos operamos:
- O site: ccxmessages.com, ccxmessages.com.br e ccxmessages.es.
- O painel: www.messages.ccxcompany.co.
- A API: api.messages.ccxcompany.co.
Fora do escopo: os serviços de terceiros que usamos (WhatsApp e demais produtos da Meta, provedores de nuvem, de e-mail e de SMS), engenharia social, ataques físicos e testes de carga ou de negação de serviço.
Como reportar
Escreva para security@ccxmessages.com, em português, inglês ou espanhol.
Inclua o endereço ou a rota afetada, os passos para reproduzir, o impacto que você conseguiu demonstrar e como prefere ser contatado. Se precisar mandar algo sensível, avise no primeiro e-mail e combinamos um canal.
O que pedimos
Para que a pesquisa seja de boa-fé, pedimos que você:
- Use só contas e dados de teste seus. Se chegar a dado de cliente, pare, não copie nem guarde nada, e nos avise.
- Não envie mensagens de WhatsApp, SMS, e-mail ou push para pessoas reais: cada envio chega a alguém e é cobrado de um cliente.
- Não degrade o serviço: nada de negação de serviço, varredura em volume ou automação que gere carga.
- Não altere nem apague dados que não sejam seus, e não mantenha o acesso depois de demonstrar a falha.
- Guarde o achado em sigilo até a correção, como descrito em Divulgação.
O que garantimos
Do nosso lado, nos comprometemos a:
- Confirmar o recebimento em até 5 dias úteis.
- Avaliar o relato e dizer se vamos corrigir, com uma estimativa de prazo.
- Manter você informado até a correção.
- Dar o crédito pelo achado quando a falha for corrigida, se você quiser. Não temos programa de recompensa em dinheiro.
- Não acionar judicialmente nem denunciar quem pesquisar de boa-fé seguindo esta política.
Divulgação
Pedimos que você só torne o achado público depois da correção, ou 90 dias depois do seu relato, o que acontecer primeiro. Se a correção precisar de mais tempo, combinamos a data com você.
Achou alguma coisa?
Escreva para nós. Quanto antes soubermos, antes corrigimos.