Política de divulgação de vulnerabilidades

Versão 2026-10-12

Queremos saber de problemas de segurança no SnagBane. Se você acha que encontrou um, conte primeiro para nós, em particular, para que possamos corrigi-lo antes que se torne público.

Como reportar

Envie um e-mail para support@snagbane.com com “Security” no assunto. Inclua:

• a versão e a edição do SnagBane (Configurações → Sistema e atualizações mostra as duas) e como ele está instalado (Docker, VPS, cPanel);
• o que um atacante consegue fazer e os passos ou uma breve prova de conceito para reproduzir;
• se é preciso uma conta e com qual papel;
• como você gostaria de receber o crédito, se quiser.

Por favor, não abra uma issue pública nem publique detalhes antes que haja uma correção. Os dados de contato em formato legível por máquina estão em /.well-known/security.txt.

Com o que nos comprometemos

• Respondemos em até 5 dias úteis para confirmar que recebemos o seu relato.
• Mantemos você informado pelo menos a cada 14 dias até o problema ser resolvido.
• Buscamos lançar uma correção para problemas críticos confirmados em até 7 dias e para problemas graves em até 30 dias, antes disso se estiverem sendo explorados.
• Citamos a correção nas notas da versão da atualização e damos o crédito a você ali, se quiser.
• Combinamos com você quando os detalhes serão publicados – depois que a correção sair, ou 90 dias após o seu relato se ainda não tivermos corrigido até lá, salvo acordo diferente.

Não temos um programa de bug bounty pago.

Escopo

No escopo: o software SnagBane (pacotes grátis e pagos, versão mais recente), o site snagbane.com e os serviços de atualização e de licenças do SnagBane.

Fora do escopo: instalações do SnagBane de outras organizações – reporte-as à organização que as opera; problemas que exigem um servidor ou uma conta de administrador já comprometidos; proteções ausentes que o administrador controla (por exemplo, uma configuração desativada); negação de serviço e testes de carga; engenharia social; e serviços de terceiros como Microsoft 365, Google, Freemius ou Cloudflare.

Testes de boa-fé

Teste na sua própria instalação – o código do servidor do SnagBane vem em forma legível para que você possa revisá-lo e testar sua segurança (contrato de licença, seção 2.3). No nosso site e nos nossos serviços, use apenas as suas próprias contas e um volume normal de requisições; não acesse, altere nem guarde dados de outras pessoas, e pare e reporte assim que vir algum. Não tomaremos medidas legais contra pesquisas feitas de boa-fé de acordo com esta política.

Depois de uma atualização

As correções de segurança saem como atualizações normais. Os administradores as instalam em Configurações → Sistema e atualizações → Atualizações; cada pacote é assinado e verificado antes da instalação.