Política de Divulgação de Vulnerabilidades

Levamos a segurança dos nossos próprios sistemas tão a sério quanto a dos nossos clientes. Se você encontrou uma falha, queremos saber.

Vigente desde 20 de julho de 2026

Como reportar

Para agilizar a análise, inclua no relato:

• Descrição da vulnerabilidade e o impacto que ela permite;
• Passos claros para reproduzir (URLs, parâmetros, payloads);
• Prova de conceito mínima, capturas de tela ou vídeo, quando fizer sentido;
• Como prefere ser creditado, caso queira reconhecimento público.

Escopo

Dentro do escopo: o domínio websecteam.com e seus subdomínios, além de serviços que hospedamos diretamente.

Fora do escopo:

• Serviços de terceiros que apenas utilizamos (provedores de hospedagem, e-mail, redes sociais);
• Ataques de negação de serviço (DoS/DDoS) ou testes de carga;
• Engenharia social, phishing contra nossa equipe e ataques físicos;
• Relatos automatizados de scanner sem impacto demonstrado;
• Ausência de cabeçalhos ou boas práticas sem um vetor de exploração real.

Nosso compromisso

• Confirmação de recebimento em até 3 dias úteis;
• Avaliação inicial com nossa classificação de severidade em até 10 dias úteis;
• Atualizações de status ao longo da correção, até o encerramento;
• Crédito público a quem reportou, sempre que houver autorização.

Safe harbor

Se você seguir esta política de boa-fé, não tomaremos medidas legais contra você nem solicitaremos que terceiros o façam. Consideramos sua pesquisa autorizada e vamos colaborar para entender e resolver o problema rapidamente.

Caso uma ação judicial seja iniciada por terceiros contra você por atividades conduzidas dentro desta política, agiremos para deixar claro que a pesquisa era autorizada.

O que pedimos em troca

• Não acesse, copie, altere ou destrua dados que não sejam seus. Ao encontrar dados de terceiros, pare imediatamente e nos avise;
• Não degrade nem interrompa nossos serviços;
• Respeite a privacidade: nada de exfiltrar informações pessoais;
• Dê um prazo razoável para a correção antes de qualquer divulgação pública. Nossa referência é de 90 dias, e conversamos caso precise ser diferente;
• Use apenas contas de teste próprias sempre que possível.

Reconhecimento

No momento não oferecemos recompensa financeira, mas reconhecemos publicamente quem contribui para a segurança dos nossos sistemas e mantemos uma relação aberta com a comunidade de pesquisa.

Privacidade e cookies

Esta seção explica como o site websecteam.com trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). O controlador dos dados é a WebSec Team.

Dados que coletamos

• Formulário de contato: nome, e-mail, telefone/WhatsApp, empresa, frente a testar, URL da aplicação, mensagem e o escopo montado na calculadora. Usamos esses dados apenas para responder ao seu pedido e elaborar a proposta;
• Dados de navegação: páginas visitadas, tipo de dispositivo e navegador, país de origem e métricas de desempenho, coletados de forma agregada por ferramentas de medição.

Ferramentas e terceiros

• Google Tag Manager: gerencia as tags de medição do site e pode registrar dados de navegação e usar cookies, conforme as tags configuradas;
• Vercel Web Analytics e Speed Insights: medem audiência e desempenho do site, sem uso de cookies de rastreamento;
• Vercel: hospeda o site e processa as requisições do formulário;
• Discord: recebe a notificação interna do seu pedido de contato, acessível apenas à nossa equipe;
• Provedor de e-mail: processa as mensagens trocadas com contato@websecteam.com.

Não vendemos dados pessoais nem os usamos para publicidade de terceiros.

Cookies

Usamos cookies e tecnologias semelhantes apenas para medir o uso do site. Você pode bloquear ou apagar cookies nas configurações do seu navegador. Isso não impede o uso do site.

Por quanto tempo guardamos

Mantemos os dados do formulário pelo tempo necessário para atender ao seu pedido e cumprir obrigações legais. Depois disso, eles são excluídos ou anonimizados.

Seus direitos

Você pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade e exclusão dos seus dados, além de revogar consentimentos, nos termos do art. 18 da LGPD. Escreva para contato@websecteam.com e responderemos em prazo razoável.