Política de segurança

Como relatar

Escreva para security@setalk.app, em inglês ou português.¹

• Inclua, por favor: o que você encontrou, onde (página, endpoint ou versão do app), os passos para reproduzir e o que um atacante conseguiria fazer com isso.
• Por favor, não relate problemas de segurança em canais públicos antes de termos a chance de corrigir.
• PGP: uma chave para este endereço será publicada mais tarde.¹

No escopo

• O site setalk.app.
• O serviço de conta do SeTalk (setalk.app/api/) e a página de pagamento em pay.setalk.app.²
• A configuração dos servidores de mensagens e arquivos do SeTalk. O software de servidor em si é o código do SimpleX sem modificação, então uma falha nele vai para o SimpleX (veja abaixo).³
• O app SeTalk para Android (pacote app.setalk), incluindo as mudanças que o SeTalk faz no SimpleX.¹

Fora do escopo

• O projeto SimpleX original.Um problema no código do SimpleX que o SeTalk herda sem mudança deve ir para o SimpleX, pelo canal de segurança dele. Se também afetar o SeTalk, avise-nos também.⁴

• Ataques a contas ou aparelhos de outras pessoas, engenharia social com pessoas, ataques físicos e testes de negação de serviço.
• Relatos que só apontam a falta de um cabeçalho ou de uma boa prática, sem forma de explorar.

O que esperar

• Primeira resposta: buscamos responder em até 7 dias depois do seu relato.
• Vamos dizer se confirmamos o problema e manter você informado enquanto corrigimos.
• Dê-nos até 90 dias para corrigir antes de publicar os detalhes. Combinamos a data com você.
• Se você quiser, damos o crédito pelo nome que você escolher depois que a correção sair.

Boa-fé

Não vamos processar quem nos relatar uma vulnerabilidade de boa-fé e seguir esta política: quem só acessar os dados necessários para mostrar o problema, não guardar nem compartilhar dados de outras pessoas e nos der tempo para corrigir antes de tornar o caso público.¹

Esta política está indicada no nosso /.well-known/security.txt, que segue a RFC 9116.^1,5