Comunicar um problema de segurança

Verificar formulários de terceiros é a nossa profissão, por isso levamos a sério as comunicações sobre os nossos próprios sistemas. Se encontrou uma vulnerabilidade no formexposed, informe-nos antes de mais ninguém.

Como comunicar

Escreva para security@formexposed.com. Indique o endereço ou componente afetado, os passos para reproduzir o problema e o que um atacante poderia fazer com ele. Uma comunicação curta é suficiente – perguntaremos se precisarmos de mais.

O que prometemos

Confirmamos a receção da sua comunicação no prazo de três dias úteis e mantemo-lo informado até o problema estar corrigido.
Corrigimos os problemas graves o mais depressa possível e informamo-lo quando a correção estiver em produção.
Se quiser, mencionamos o seu nome nesta página depois de o problema estar corrigido.

Pedimos que

teste apenas com a sua própria conta e os seus próprios sites;
não aceda a mais dados de terceiros do que os necessários para demonstrar o problema e elimine o que viu;
não realize ataques de negação de serviço, testes de carga nem análises automatizadas de alta frequência;
não recorra a spam, engenharia social nem ataques físicos;
nos dê um prazo razoável (sugerimos 90 dias) antes de publicar seja o que for.

Boa-fé

Se cumprir estas regras, não tomaremos medidas legais contra si pela sua investigação nem o denunciaremos às autoridades.

Âmbito

Dentro do âmbito: formexposed.com, form.exposed, o plugin formexposed para WordPress, a extensão TYPO3 e o comportamento do nosso scanner (formexposed-bot).

Normalmente fora do âmbito, salvo se demonstrar um impacto concreto: cabeçalhos de segurança em falta, definições de SPF/DMARC, clickjacking em páginas sem ações, números de versão, self-XSS.

Somos uma pequena empresa e não pagamos recompensas – mas agradecemos todas as comunicações.