Report security issues through a real process.
Divulgação responsável exige mais do que publicar um e-mail. O Portal do Produtor está estruturando triagem, escopo, severidade, coordenação e registro antes de apresentar um programa público como operacional.
Primeiro o processo. Depois a promessa pública.
O canal público dedicado só deve ser divulgado depois de existir uma caixa monitorada, responsável operacional e processo de triagem. Até lá, não publicamos um endereço de segurança fictício.
PLANNEDA política final deve explicar o escopo permitido, testes proibidos, proteção de dados de terceiros e como pesquisadores podem relatar evidências sem causar indisponibilidade ou acesso indevido.
FOUNDATIONRelatos devem receber classificação de impacto, componente afetado, reprodutibilidade e prioridade de correção antes de qualquer compromisso público de prazo.
FOUNDATIONQuando aplicável, divulgação pública deve ser coordenada após contenção e correção, preservando usuários, pesquisadores e evidências técnicas.
FOUNDATIONNão existe programa público de bug bounty neste estágio. Recompensas não devem ser prometidas até que regras, elegibilidade e orçamento estejam formalmente definidos.
EXPLICITDo not fabricate a security program.
Um endereço não monitorado, um SLA impossível ou um bug bounty inexistente pioram a postura de segurança. O Trust Center deve mostrar apenas controles e canais que a organização consegue realmente sustentar.