Responsible Disclosure

Como reportar vulnerabilidades de segurança de forma responsável.

Versão 1.0Atualizado em 9 de maio de 2026

Agradecemos a comunidade de pesquisadores de segurança que dedica tempo para encontrar e reportar vulnerabilidades. Esta política descreve como você pode reportar um problema de forma segura.

Como reportar

Envie um e-mail para [email protected] com uma descrição clara da vulnerabilidade, passos para reproduzi-la, URL e payloads relevantes, impacto potencial e o seu nome ou pseudônimo, se quiser ser creditado. Para conteúdo sensível, solicite nossa chave PGP no mesmo e-mail.

Escopo

Em escopo

Domínios *.condoa.com.br e *.condoa.app, a aplicação web, a API e o agente local do Controle de Acesso (CDA).

Fora de escopo

Sites de terceiros, blog estático, marketing, engenharia social contra colaboradores ou clientes, ataques físicos a escritórios ou data centers, spam, brute-force sem prova de impacto e descoberta de subdomínios.

Compromissos

Confirmamos o recebimento do reporte em até 3 dias úteis e mantemos comunicação sobre o andamento. Não tomaremos medidas legais contra pesquisadores que sigam esta política em boa-fé. Contribuições válidas podem ser creditadas publicamente, mediante autorização.

Boas práticas

Não acesse, modifique ou apague dados que não sejam seus. Não execute testes que possam degradar o serviço (DoS, fuzzing massivo, spam de envio). Dê tempo razoável para corrigirmos antes de qualquer divulgação pública.

Sem programa de bug bounty

Observação: Hoje não pagamos recompensas em dinheiro, mas reconhecemos publicamente em uma página de agradecimentos as contribuições significativas.