Segurança · Divulgação responsável

Encontraste uma vulnerabilidade? Conta-nos.

Agradecemos a quem nos ajuda a proteger o BeryX e os dados dos nossos clientes. Esta página diz como reportar, o que podes testar e o que te prometemos em troca.

Última revisão: 7 de outubro de 2026

Como reportar

Envia um email para o contacto de segurança com a descrição, os passos para reproduzir e o impacto que observaste.
Se puderes, indica o URL ou o endpoint, a conta de teste que usaste e o momento do teste. Não envies dados de outras pessoas.
Dá-nos tempo para corrigir antes de divulgares publicamente. Combinamos contigo a data da divulgação.

Enviar reporte

seguranca@praxis.lbostuff.tech · security.txt

O que te prometemos

Prazos máximos, a contar da receção do teu reporte.

Confirmação da receção: 3 dias úteis
Primeiro diagnóstico: 5 dias úteis
Correção de uma crítica: 7 dias
Correção de uma alta: 30 dias
Correção de uma média: 90 dias

Âmbito

Dentro do âmbito

A app BeryX e a sua API
Este site e os seus formulários
O servidor MCP e os tokens de API

Fora do âmbito

Negação de serviço, testes de carga e spam
Engenharia social e acesso físico
Os sistemas dos nossos fornecedores (Google Cloud, Anthropic, etc.)
Achados só de scanners automáticos, sem impacto demonstrado

Regras

Reporta vulnerabilidades por email para o contacto de segurança. Confirmamos a receção em 3 dias úteis e enviamos um primeiro diagnóstico em 5; o prazo-alvo de correção é o da nossa política de vulnerabilidades (7, 30 e 90 dias para crítica, alta e média).
Testa só contra a tua própria conta e o teu workspace. Não acedas a dados de terceiros, não faças testes de carga ou negação de serviço e não uses engenharia social.
Não temos programa de bug bounty pago. Agradecemos publicamente a quem o pedir, depois da correção.

Porto seguro

Se agires de boa-fé e dentro destas regras, não tomamos medidas legais contra ti nem pedimos que o façam. Se, sem querer, encontrares dados de outra pessoa, para, não os guardes e avisa-nos.

Pen test externo

Ainda não fizemos um pen test externo. O âmbito, as contas de teste e as regras estão preparados; falta contratar o fornecedor. Está planeado antes da auditoria SOC 2 Type I e depois anual; o sumário é publicado aqui.