Política de Divulgação Responsável

O Nosso Propósito

Nossa principal prioridade é a segurança e a confidencialidade dos dados dos nossos clientes. Nós nos esforçamos ao máximo para escrever códigos limpos (clean code) e realizar testes rigorosos em nossa infraestrutura. Apesar dos nossos melhores esforços na MultiMessage, vulnerabilidades ainda podem estar presentes em nossos serviços de telecomunicação e API.

Todos são encorajados a reportar vulnerabilidades de segurança devidamente identificadas. A MultiMessage fará o melhor esforço para analisar e responder o mais rápido possível. Por favor, aguarde alguns dias antes de nos enviar uma nova mensagem sobre o mesmo incidente.

Política de Divulgação

Ao investigar nossa infraestrutura, pedimos que você observe rigorosamente as seguintes diretrizes:

• Respeite a lei e não a infrinja.
• Não realize ataques de negação de serviço (DDoS/DoS) nem de outra forma perturbe, interrompa ou degrade o funcionamento de nossos serviços de roteamento (SMS/WhatsApp).
• Não utilize técnicas de engenharia social contra nossos clientes, parceiros de telecomunicações, ou nossa equipe.
• Não conduza campanhas de spam ou ataques de phishing.
• Não coloque a infraestrutura da MultiMessage, chaves de API, ou os dados dos nossos clientes em risco de qualquer natureza.
• Não altere ou exclua dados de forma permanente no banco de dados.
• Cumpra a legislação penal aplicável e outras leis vigentes, em especial a Lei do Cibercrime e o Marco Civil da Internet no Brasil.

Regras de Submissão

O seu envio do relatório, de preferência em Português ou Inglês, deve conter obrigatoriamente:

• Descrição clara e provas concretas da vulnerabilidade (logs de tráfego, capturas de tela, respostas HTTP).
• Passos detalhados e reprodutíveis para chegar ao problema (Proof of Concept - PoC).
• Quaisquer plataformas, sistemas operacionais, webviews de aparelhos celulares ou versões de protocolos que sejam relevantes.
• Quaisquer endereços IP, portas abertas, ou URLs do nosso painel/API que sejam afetados.
• Qualquer evidência de suporte que você tenha coletado (logging, tracing, cURLs etc).
• A sua avaliação pessoal da explorabilidade ou impacto técnico/comercial do problema reportado.
• Os seus dados de contato seguro.

Por favor, preserve o máximo de evidências possível de forma segura, pois podemos precisar examiná-las para a eventual correção do bug. Estas regras nos ajudam a responder mais rapidamente e a priorizar envios de alta qualidade.

Sobre o que NÃO iremos responder:

Favor abster-se de gerar envios triviais ou ruidosos. Nós não responderemos a relatórios englobando:

• Relatos de qualquer informação ou vulnerabilidade já de domínio público generalizado;
• Falhas genéricas sem nenhuma evidência clara de impacto prático nos nossos sistemas;
• Falta das chamadas "security headers" HTTP (ex: falta de HSTS), a menos que haja um vetor comprovável;
• Vulnerabilidades que afetam apenas usuários ou clientes executando navegadores e plataformas móveis obsoletos ou não-parcheados (ex: aparelhos antigos sem atualização de sistema que causam falhas isoladas de conexão SSL);
• Resultados brutos ou automáticos de ferramentas genéricas de scanner de vulnerabilidade das nossas plataformas.

Por favor, não solicite compensação financeira pelo tempo, equipamentos empregados ou pelas vulnerabilidades descobertas antes do envio. Pedimos que atue estritamente sob a ética de código de conduta (White-Hat).

Política de Confidencialidade

Por favor, trate todas as informações técnicas sobre a profundidade dos nossos sistemas, portas de envio, APIs parceiras e, acima de tudo, os dados dos nossos usuários como estritamente confidenciais. Não os divulgue publicamente em fóruns, blogs ou redes sociais. Isso se aplica independentemente de a MultiMessage ter tido conhecimento prévio ou não da informação ou falha em questão.

Nós sinceramente valorizamos e agradecemos os esforços voluntários de pesquisadores de cibersegurança e desenvolvedores que dedicam tempo para compartilhar de forma ética problemas encontrados na segurança de nossas ferramentas. Obrigado por nos ajudar a construir um ambiente corporativo de mensageria mais seguro e confiável para todos nós.