Divulgação de vulnerabilidades

Como relatar um problema de segurança no Arc OS, o que esperar de nós, além do escopo e do porto seguro para pesquisa de boa-fé.

Como relatar

• Envie um email para [email protected]. Um problema por relato.
• Inclua o que você encontrou, onde (URL, endpoint ou commit), os passos para reproduzir, o impacto e qualquer proof of concept.
• Por favor, não divulgue o problema publicamente antes de corrigirmos.

O que esperar de nós

• Confirmamos o recebimento do seu relato em até 5 dias úteis.
• Fornecemos uma primeira avaliação (aceito, precisamos de mais informações ou fora do escopo) em até 10 dias úteis.
• Mantemos você informado durante a correção e avisamos quando estiver resolvido.
• Com o seu consentimento, damos crédito a você assim que a correção entrar no ar.

Escopo

Dentro do escopo:

• arc-os.co e os seus subdomínios, o aplicativo web e a API do Arc OS, e a CLI arc com o seu canal de atualização.

Fora do escopo:

• Serviços de terceiros sobre os quais construímos (por exemplo, Anthropic, Cloudflare, GitHub): relate esses ao respectivo provedor.
• Achados que exijam um dispositivo comprometido, um sistema operacional com root ou jailbreak, ou acesso físico à máquina de alguém.
• Engenharia social da nossa equipe ou dos nossos usuários, spam e negação de serviço volumétrica.
• Saída de scanners automatizados sem impacto explorável demonstrado.

Porto seguro

Não moveremos nem apoiaremos ação judicial contra você por pesquisa de segurança conduzida de boa-fé que siga esta política. Se você:

• fizer um esforço de boa-fé para evitar violações de privacidade, destruição de dados e interrupção ou degradação do serviço,
• interagir apenas com contas que você possui ou tem permissão explícita para testar,
• não acessar, alterar nem reter dados de outros usuários além do mínimo necessário para demonstrar o problema, e
• nos der um tempo razoável para corrigir o problema antes de divulgá-lo publicamente,

então consideramos a sua pesquisa autorizada, e trabalharemos com você para resolver o problema rapidamente. Se um terceiro mover ação judicial contra você por atividade que seguiu esta política, tornaremos pública essa autorização.

Este não é um programa pago de bug-bounty. Atualmente não oferecemos recompensas monetárias.

Dúvidas

Envie um email para [email protected]. Veja também a Visão geral de segurança e o security.txt em /.well-known/security.txt.