Encontrou uma possível vulnerabilidade? Relate com segurança.

Escreva para contato@tesemetria.tech com o assunto “Relato de segurança”. Aceitamos relatos em português ou inglês. O mesmo endereço aparece no arquivo público security.txt.

Para conseguirmos reproduzir e corrigir o problema, inclua quando possível:

• a URL, rota ou recurso afetado;
• os passos mínimos para reproduzir, sem credenciais, tokens ou dados pessoais;
• o impacto que você considera possível e as condições necessárias para ele ocorrer;
• capturas de tela ou uma prova de conceito não destrutiva;
• um meio seguro de retorno e sua preferência sobre eventual crédito público.

Não envie segredos no primeiro contato. Se precisarmos trocar material sensível, combinaremos um meio apropriado durante a triagem.

Consideramos de boa-fé a pesquisa limitada ao necessário para demonstrar uma falha, feita para melhorar a segurança e acompanhada de um relato privado e responsável. Dentro desses limites, não iniciaremos ação judicial nem pediremos investigação contra a pessoa apenas por ter realizado e comunicado o teste.

Se uma ação ultrapassar acidentalmente o necessário, interrompa o teste, não retenha nem compartilhe o que foi obtido e conte no relato exatamente o que aconteceu. Esta política não autoriza violar a lei nem vincula provedores e terceiros.

Para proteger assinantes e a continuidade do serviço, não realize:

• acesso, alteração, exclusão, download ou retenção de dados de outras pessoas;
• testes com carteiras, documentos, pagamentos, credenciais ou dados financeiros reais;
• negação de serviço, carga excessiva, varredura agressiva ou automação em alto volume;
• engenharia social, phishing, spam, contato com clientes ou tentativa de acesso físico;
• persistência, instalação de código, alteração de logs ou movimento para outros sistemas;
• exploração de fornecedores externos ou divulgação pública antes da coordenação.

O escopo abrange os serviços web operados pelo Tesemetria no domínio canônico e os domínios próprios que redirecionam para ele. Falhas exclusivas de serviços de terceiros devem ser comunicadas ao programa do respectivo fornecedor.

1. Recebimento: procuramos confirmar o relato em até três dias úteis.
2. Triagem: verificamos reprodutibilidade, alcance e impacto sem ampliar a exposição.
3. Correção: priorizamos pelo risco e testamos a remediação antes da publicação.
4. Retorno: informamos o estado e, quando possível, a conclusão da correção.

Os prazos são metas de comunicação, não garantia de solução em uma data fixa. A complexidade, dependências externas e o risco de uma alteração apressada podem exigir mais tempo.

Pedimos que qualquer publicação seja combinada conosco depois da correção ou, como referência, após 90 dias do primeiro relato. Se houver risco ativo para usuários, necessidade de fornecedor externo ou correção ainda em implantação, ajustaremos esse prazo em conjunto.

Podemos reconhecer publicamente quem ajudou, mas somente com autorização expressa. O Tesemetria não mantém programa de recompensa financeira e esta política não cria promessa de pagamento.

Para dúvidas comuns, privacidade ou atendimento, use a página de contato. O tratamento de dados pessoais está explicado na política de privacidade.