Segurança

Âmbito

Esta política aplica-se a:

• edukamentas.lt e todos os seus subdomínios
• Aplicações móveis "Edukamentas" para iOS e Android

Como reportar

Envie um email para [email protected] com:

• Descrição breve da falha e impacto potencial.
• Passos para reproduzir, URLs, exemplos de request / response.
• Capturas de ecrã, vídeo PoC ou payloads, se relevante.
• Os seus contactos, se quiser uma resposta da nossa parte.

Respondemos em 5 dias úteis. Falhas críticas são confirmadas em 24 horas.

Por favor, não

• Não divulgue publicamente a vulnerabilidade até acordarmos a publicação conjunta.
• Não use contas ou dados pessoais de outros utilizadores – teste apenas com a sua conta.
• Não execute ataques DoS, brute force, spam ou engenharia social contra a nossa equipa.
• Não modifique, apague ou copie dados que não lhe pertençam.
• Não publique vulnerabilidades em plataformas externas sem a nossa autorização.

Fora do âmbito

Os seguintes casos normalmente não são aceites como reportes:

• Relatórios teóricos sem impacto demonstrado.
• Resultados de scanners automáticos sem exploit confirmado.
• Security headers em falta sem um caminho concreto de exploração.
• Configuração SPF / DKIM / DMARC sem prova real de spoofing.
• Falhas de rate limiting sem cenário claro de dano.
• Self-XSS, clickjacking sem uma ação sensível.

O nosso compromisso

• Se agir de boa-fé segundo estas regras – não tomaremos ações legais contra si.
• Confirmaremos a receção e mantê-lo-emos informado sobre o progresso.
• Corrigiremos falhas confirmadas num prazo razoável, conforme a severidade.
• Agradeceremos publicamente – em redes sociais, LinkedIn ou num post de blog, se concordar.
• A equipa Edukamentas participa em OWASP e outras conferências de segurança – a comunidade importa-nos, e fazemos o nosso melhor esforço moral.

Recompensa

Somos uma empresa jovem em crescimento e ainda não temos um programa formal de bug bounty. Ainda assim, por descobertas importantes faremos o nosso melhor para agradecer – caso a caso, conforme impacto e complexidade. Normalmente é uma recompensa monetária proporcional ao que podemos pagar. Falhas críticas são prioridade.