1. Reportar uma vulnerabilidade
Se descobrires uma vulnerabilidade de segurança, escreve para security@aukilo.com (ou para contact@aukilo.com com «[SECURITY]» no assunto).
Confirmamos a receção em 72 horas úteis e mantemos-te informado·a do seguimento.
Para acelerar a triagem, inclui se possível:
- uma descrição clara da vulnerabilidade e do seu impacto;
- os passos para a reproduzir;
- a versão da app ou o URL afetado;
- o seu pseudónimo se quiser ser creditado·a.
2. Âmbito
Esta política abrange:
- o site e os subdomínios de aukilo.com, incluindo a app web app.aukilo.com;
- a app móvel Aukilo (iOS e Android);
- as Edge Functions Supabase implantadas no projeto oficial.
3. Fora do âmbito
Os itens seguintes não estão abrangidos e não são elegíveis para divulgação responsável:
- ataques de negação de serviço (DOS / DDoS);
- phishing e engenharia social contra a equipa ou os utilizadores;
- scraping massivo ou tentativas de contornar quotas;
- vulnerabilidades já conhecidas ou em correção;
- serviços de terceiros (Vercel, Supabase, Firebase, Google) — reporta diretamente ao fornecedor;
- emails antigos ou domínios parqueados.
4. O nosso compromisso
Se respeitares as regras desta política:
- não tomaremos ações legais contra si;
- trabalharemos consigo para confirmar e corrigir;
- creditá-lo-emos publicamente (com o seu consentimento) após o deploy do fix;
- publicaremos, quando relevante, um post-mortem anónimo.
O Aukilo não opera (ainda) um programa de bug bounty pago. O reconhecimento é simbólico.
5. Regras a respeitar
Para beneficiares do nosso compromisso, por favor:
- não aceder nem modificar dados de utilizadores sem o seu consentimento;
- não degradar o serviço nem interromper o seu funcionamento;
- não divulgar publicamente a vulnerabilidade antes de a corrigirmos;
- não explorar a vulnerabilidade além da prova de conceito mínima.
6. Dados dos utilizadores
O Aukilo trata dados pessoais de acordo com o RGPD e a nossa política de privacidade. Se uma vulnerabilidade expuser dados pessoais, aplicaremos as obrigações de notificação previstas na lei (CNIL, utilizadores afetados).
7. Contacto
Para qualquer questão sobre esta política: security@aukilo.com.
Chave PGP disponível a pedido para relatórios sensíveis.