Divulgação de vulnerabilidades
Achou uma falha? Queremos saber primeiro.
Pesquisa de segurança feita de boa-fé protege os nossos clientes. Esta política diz o que você pode testar, como relatar e o que cada lado se compromete a fazer.
Em vigor desde 09/2026
01Escopo
O que você pode testar.
Vale para o que a própria Indene opera: o site indene.io, os subdomínios dele e a plataforma Indene. Serviço de terceiro que usamos, como a borda da Cloudflare, segue a política do próprio fornecedor.
- Dentro do escopo: falha que exponha dado, quebre o isolamento entre organizações, execute código ou contorne autenticação e autorização.
- Fora do escopo: negação de serviço, engenharia social, phishing contra a equipe e acesso físico.
- Também fora: relatório automático de scanner sem impacto demonstrado, cabeçalho ou registro de e-mail ausente sem cenário explorável e clickjacking em página sem ação sensível.
02Como relatar
Um relato que dá para reproduzir.
Escreva para security@indene.io, em português, inglês ou espanhol. Quanto mais fácil for reproduzir, mais rápido a correção sai.
- Descreva a falha, o ativo afetado e o impacto que você conseguiu demonstrar.
- Inclua os passos para reproduzir, com requisições, capturas de tela ou prova de conceito.
- Não anexe dado pessoal ou de cliente que tenha visto: descreva o que acessou e apague a cópia.
03Regras de boa-fé
Prove o problema e pare no limite.
Pedimos que a pesquisa cause o menor efeito possível. Confirmou a falha, pare ali e nos avise.
- Use só contas suas ou criadas para o teste. Não acesse, altere nem apague dado de outra pessoa ou organização.
- Não degrade o serviço: sem teste de carga, sem spam e sem automação agressiva.
- Não divulgue a falha antes da correção ou do fim do prazo combinado com a gente.
04Nossos compromissos
Prazos que você pode cobrar.
Todo relato recebe resposta de uma pessoa. Você fica sabendo o que decidimos, quando corrigimos e quando pode publicar.
- Confirmação de recebimento em até 3 dias úteis.
- Avaliação inicial, com a gravidade que atribuímos e o porquê, em até 10 dias úteis.
- Divulgação coordenada: a data é combinada com você, com 90 dias a partir do relato como referência.
05Porto seguro
Pesquisa de boa-fé não vira processo.
Se você seguir esta política, consideramos a sua pesquisa autorizada. Não acionamos você judicialmente nem apoiamos quem queira fazê-lo; se alguém o fizer, confirmamos por escrito que a sua atividade seguiu esta política.
- Não há recompensa em dinheiro hoje. Quando houver programa, ele aparece nesta página.
- Com a sua permissão, agradecemos em público pelo nome ou apelido que você escolher.
- Na dúvida sobre o escopo, pergunte antes de testar.
Pronto para relatar?
Um e-mail basta. Se o relato tiver informação sensível, diga isso na primeira mensagem e combinamos um canal cifrado antes dos detalhes.