Última atualização em 15 de março de 2021.

Se você acredita ter encontrado uma vulnerabilidade de segurança na Kobana, nós o(a) encorajamos a nos avisar imediatamente. Investigaremos todas as denúncias legítimas reportadas e faremos o melhor para consertá-las rapidamente. Antes de fazer sua denúncia, por favor, leia atentamente esta página, incluindo nossa política de divulgação de informações com responsabilidade, regras para recompensas e principalmente o que não deve ser denunciado.

Se você, ao informar um problema de segurança na Kobana estiver de acordo com as políticas abaixo informadas, nós não daremos entrada em um processo de ação judicial ou faremos uma investigação policial contra você por ter feito a denúncia. Para isso, pedimos que:

Nós reconhecemos e recompensamos pesquisadores de segurança que nos ajudam a manter nossos clientes seguros ao relatar vulnerabilidades nos nossos serviços.

Gratificações monetárias são inteiramente de critério da Kobana, baseadas em risco, impacto e outros fatores. Para se qualificar a uma gratificação, você precisa atender aos requisitos a seguir:

Nós excluímos especificamente alguns tipos de problemas de segurança potenciais, eles estão listados em “Denúncias não elegíveis e falsos positivos” (veja abaixo).

Envie a sua denúncia pelo nosso e-mail whitehat@kobana.com.br, caso necessário utilize o mesmo e-mail para notificar algum tipo de atualização. Não entre em contato com funcionários diretamente ou por outros canais para falar sobre a denúncia.

Se você, inadvertidamente, causou uma violação ou quebra de privacidade (como acessar dados de conta, configurações de serviço ou outras informações confidenciais) quando estava investigando um problema, não se esqueça de informar isso em sua denúncia.

Por sua vez, vamos seguir estas diretrizes ao avaliar denúncias dentro do nosso programa de recompensa para bugs:

Nós investigamos e respondemos todas as denúncias válidas. Dependendo do volume de denúncias que recebemos, nós daremos prioridade para avaliações com base em risco e outros fatores, portanto pode demorar um pouco para você ser respondido.

No caso de denúncias duplicadas, nós damos a gratificação para a primeira pessoa que enviar um problema (a Kobana determina as denúncias duplicadas e pode não compartilhar detalhes nas outras denúncias). Uma gratificação é paga apenas para uma pessoa.

Reservamo-nos o direito de publicar as denúncias (e as atualizações que as acompanham);

Nós publicamos uma lista de pesquisadores que enviaram denúncias válidas de segurança. Você deve receber uma gratificação para fazer parte dessa lista, mas a sua participação é opcional. Nós reservamos o direito de limitar ou modificar a informação que acompanha o seu nome na lista.

Nós verificamos que todas as gratificações são permitidas pela lei, incluindo (mas não limitado a) sanções comerciais e restrições econômicas brasileiras.

Observe que o uso dos serviços da Kobana, inclusive para fins desse programa, está sujeito aos Termos e Políticas da Kobana. Nós podemos reter comunicações sobre problemas de segurança reportados durante o tempo que considerarmos necessários para o programa e podemos cancelar ou modificar o programa a qualquer momento.

Nós determinamos as quantias das gratificações tendo como base vários fatores, incluindo (mas não limitado a) impacto, facilidade de exploração e qualidade da denúncia.

A tabela a seguir mostra valores de referência para cada caso de qualificação da denúncia.

Você pode doar a gratificação para uma instituição de caridade ou ONG (sujeito à aprovação pela Kobana), nesse caso, nós dobramos o valor da gratificação.

Para que o pagamento seja efetuado, você precisará emitir uma Nota Fiscal de serviço de consultoria em até 10 dias depois da aprovação da Kobana. Sem a Nota Fiscal emitida a tempo não realizaremos o pagamento e nenhuma dívida será adquirida pela Kobana para a sua empresa.

Para se qualificar para uma gratificação, denuncie um problema de segurança na Kobana ou em um dos produtos ou aquisições a seguir:

Observe que os serviços que não são propriedade da Kobana não são qualificados para participar do nosso programa de recompensa para bugs.

Apesar de nos preocuparmos sempre com as vulnerabilidades que afetam os serviços que usamos, não podemos garantir ou divulgar as políticas que se aplicam a serviços de outras empresas.

Detalhe as etapas em sua mensagem explicando como reproduzir o erro. Inclua links nos quais você clicou, páginas que você visitou, URLs, identificações de usuário etc. Imagens e vídeos podem ser úteis se você também incluir explicações por escrito.

Descrições claras de quaisquer contas usadas em sua denúncia e as relações entre elas. Para evitar confusão, não use o mesmo nome em várias contas.

Qualidade é melhor que quantidade. Muitas das denúncias mais bem pagas que recebemos tinham apenas algumas linhas com explicações claras e precisas.

Se você enviar um vídeo, leve em consideração estas dicas:

Se você tem qualquer dúvida sobre esses Termos de Uso ou sobre as práticas adotadas na Kobana, envie um e-mail para whitehat@kobana.com.br.

Fonte: baseado nos termos e políticas de white hat do Facebook.com.