Divulgação responsável
Achou uma falha? Fale com a gente.
O programa de bug bounty do Mercado Facinho recompensa quem encontra uma vulnerabilidade nos nossos sistemas e nos avisa com responsabilidade, antes de qualquer divulgação pública.
- Porto seguro para quem seguir as regras
- Recompensa em dinheiro, conforme o impacto
Escopo
O que você pode e o que não pode testar.
Pode testar
- O Mercado Facinho (facinhosmurfs.com.br/mercado) e o painel de usuário
- A loja (facinhosmurfs.com.br)
- A API (api.facinhosmurfs.com.br)
- Os painéis administrativo e de clientes
Fora do escopo
- Ataques de negação de serviço e testes de carga
- Engenharia social, phishing e contato com a equipe ou com clientes
- Serviços de terceiros, como provedores de pagamento e os jogos
- Spam e varreduras automáticas em massa
Regras
Siga estas regras para estar protegido pelo porto seguro.
- Use apenas contas e dados seus para testar.
- Pare assim que provar que a falha existe, sem aprofundar.
- Acesse dados de outras pessoas só no mínimo necessário para provar a falha.
- Envie o relato com passos, impacto e prova.
- Combine conosco antes de divulgar qualquer detalhe.
Recompensa
A recompensa é paga em dinheiro, conforme o impacto da falha e a qualidade do relato. Em duplicatas, vale o primeiro relato válido. Falhas de menor impacto entram no hall da fama.
O que nos interessa
- Execução remota de código e acesso em massa a dados de clientes.
- Fraude em pagamento ou saldo.
- Acesso a dados de outro usuário, tomada de conta e injeção com impacto real.
- XSS armazenado, falha de autorização e vazamento de informação.
Porto seguro
Se você agir de boa-fé e seguir as regras desta página, não vamos processar você nem acionar as autoridades por causa da pesquisa, e vamos trabalhar com você para entender e corrigir o problema. Isso vale para o escopo acima.
Como reportar
Relatos de segurança vão por e-mail, em canal separado do suporte comum.
O botão já abre o e-mail com um modelo de relato. Também aceitamos relatos em inglês.
Contato legível por máquina: security.txt
O que mandar no relato
- Resumo: a falha em uma frase e onde ela está (URL, endpoint ou painel).
- Passos: para reproduzir, na ordem.
- Impacto: o que um atacante conseguiria fazer.
- Prova: captura de tela, vídeo ou requisição, sem dados de outras pessoas.
- Nome ou apelido: se quiser aparecer no hall da fama.
Depois do relato
- Relato
Você nos envia o relato por e-mail, com passos, impacto e prova.
- Triagem
Avaliamos o impacto, mantemos você informado e combinamos a recompensa.
- Hall da fama
Com o seu aceite, damos crédito público a quem ajudou.
Perguntas frequentes
Preciso ser cliente para participar?
Não. Qualquer pesquisador pode participar, desde que siga as regras.
Posso testar com a minha própria conta?
Sim, e é o recomendado. Use só contas e dados seus. Para provar uma falha que alcança dados de outros, pare no mínimo necessário e nos avise.
Como vou saber se o relato foi aceito?
Respondemos por e-mail. Depois da triagem informamos o impacto avaliado e a recompensa.
A recompensa é em dinheiro?
Sim. O valor depende do impacto da falha e da qualidade do relato.
Posso publicar o que achei?
Combine conosco antes. Divulgamos juntos, de comum acordo.
Hall da fama
Ainda não há ninguém aqui. O primeiro relato válido abre a lista, com o nome ou apelido que você escolher.