Divulgação Responsável
Obrigado por ajudar a manter os clientes da Eyou seguros. Esta política descreve como reportar vulnerabilidades, o que prometemos em troca e o escopo do programa.
Encontrou uma vulnerabilidade?
Envie sua descoberta por email com prefixo [SECURITY] no assunto. Resposta inicial em até 5 dias úteis. Críticos confirmados em 24h.
Inclua na sua mensagem
Quanto mais detalhe, mais rápido reproduzimos e corrigimos.
O que prometemos
Resposta inicial
Reconhecimento dentro de 5 dias úteis após o reporte.
Críticos
Vulnerabilidades críticas confirmadas e priorizadas em 24h.
Status updates
Atualização escrita a cada 7 dias até a resolução.
Ação legal
Zero ação legal contra pesquisadores de boa-fé.
O que está coberto
Lista oficial dos ativos que aceitamos reporte. Fora dessa lista, encaminhamos ao fornecedor ou rejeitamos.
Em escopo
- eyou.com.br · www.eyou.com.br Site público institucional
- authy.eyou.com.br Portal cliente final
- sms.eyou.com.br Painel SMS do cliente
Fora de escopo
- Serviços terceiros embedados Mercado Pago, reCAPTCHA, OCI managed — reportar ao fornecedor diretamente
- Engenharia social Contra funcionários, terceiros ou clientes Eyou — sempre fora
- DDoS / DoS volumétrico Não testar; já temos mitigação OCI gerenciada
- Software 30+ dias sem patch Já conhecido por nós; não é reporte novo
O que NÃO é vulnerabilidade pra gente
Reportes nesses padrões são fechados sem investigação detalhada.
Falta de security header sem exploit demonstrável
Self-XSS exigindo que a vítima cole código no próprio console
Reporte baseado só em saída de scanner sem validação manual
Open redirects sem impacto de segurança real
CSV injection em export que o próprio usuário gera
Falta de SPF/DKIM em domínios sem envio de email
Hall de agradecimentos
Listamos aqui pesquisadores que reportaram vulnerabilidades válidas, com seu consentimento.
Ainda sem agradecimentos públicos
Seja o primeiro nome listado aqui.
Arquivo machine-readable RFC 9116: /.well-known/security.txt.
Bug bounty em dinheiro ainda não disponível — programa em avaliação para 2026 H2.