Política em rascunho
Esta política foi preparada para revisão e ainda não está em vigor. Até ser publicada, aplicam-se os Termos de serviço.
01O nosso compromisso
Os comerciantes confiam na PapelShip para receber pagamentos e no qPapel para proteger o seu software. Acolhemos as comunicações de investigadores que identifiquem problemas de segurança e nos queiram ajudar a corrigi-los.
02Âmbito
Incluído no âmbito
- papelship.com e o painel da PapelShip.
- O checkout alojado e as lojas em mypapel.com.
- A API da PapelShip, os webhooks e os servidores de autenticação do qPapel.
- Os SDKs do qPapel para C++ e C#.
Excluído do âmbito
- Negação de serviço, testes de carga ou tentativas de degradar a disponibilidade.
- Engenharia social, phishing ou ataques físicos contra colaboradores ou escritórios.
- Conteúdos, código ou configurações controlados por comerciantes individuais.
- Serviços de terceiros que utilizamos, cujos problemas devem ser comunicados aos respetivos proprietários.
- Resultados sem impacto de segurança demonstrado, como cabeçalhos em falta em páginas estáticas.
03Como comunicar
Envie uma mensagem de correio eletrónico para [email protected] com o assunto «Security report». Inclua:
- Uma descrição do problema e do seu potencial impacto.
- O URL, endpoint, versão do SDK ou componente afetado.
- Os passos para o reproduzir e, sempre que possível, uma prova de conceito.
- A forma como pretende que o seu contributo seja reconhecido, se for o caso.
04Regras de atuação
- Efetue testes apenas em contas e lojas de que seja titular, ou com autorização expressa.
- Não aceda, modifique nem elimine dados pertencentes a outros Utilizadores; interrompa os testes e comunique a situação logo que tenha acesso a esses dados.
- Não utilize uma vulnerabilidade identificada para contornar a proteção qPapel de outro comerciante ou para obter licenças.
- Não execute análises automatizadas que gerem tráfego elevado.
- Mantenha os detalhes confidenciais até confirmarmos a correção.
05Investigação de boa-fé
Se cumprir a presente política, agir de boa-fé e nos conceder um prazo razoável para responder, não tomaremos medidas legais contra si devido à sua investigação e colaboraremos consigo para compreender e resolver o problema.
06O que pode esperar
Acusaremos a receção da sua comunicação, mantê-lo-emos informado durante a investigação e comunicar-lhe-emos quando o problema estiver resolvido. Atualmente, não dispomos de um programa de bug bounty remunerado.