Política de segurança

Como reportar um problema de segurança

Mande e-mail direto pra gente. Respondemos em 72 horas - sem sistema de tickets, sem buraco negro corporativo, só nós.

Email: security@workoutgen.app

Arquivo RFC 9116: /.well-known/security.txt

Se você tiver vários achados, envie-os como relatórios separados quando possível. Um problema por e-mail deixa a triagem e o crédito muito mais claros para todo mundo.

Por favor inclua

• Passos claros de reprodução
• Escopo exato testado (URL, endpoint, fluxo do usuário, tipo de conta, ambiente)
• Data e hora do teste em UTC
• Impacto mensurável
• Amostras sanitizadas de requisição e resposta, logs ou HAR quando relevante
• Prova de conceito ou capturas de tela quando possível
• Para problemas de sessão ou replay, o atraso exato entre as ações e se o problema continua após atualizar a página ou depois de mais de 60 segundos

Escopo

Esta política cobre workoutgen.app, my.workoutgen.app e todos os serviços relacionados. Se não tiver certeza se algo está no escopo, pergunte primeiro - preferimos um falso alarme a perder um problema real.

Achados que dependem apenas de extensões do navegador, malware local, self-XSS sem fronteira de privilégio, ou comportamento de terceiros sem impacto demonstrado no WorkoutGen geralmente ficam fora do escopo.

O que pedimos de você

• Não acesse nem copie dados de usuários além do estritamente necessário para provar que a vulnerabilidade existe
• Não faça testes de negação de serviço - nossa infraestrutura é enxuta e pagamos por cada requisição
• Sem engenharia social, phishing ou ataques físicos
• Se acidentalmente acessar algo sensível, pare e nos avise - manteremos confidencial e trabalharemos com você, não contra você
• Mantenha os testes limitados em ritmo e evite automações que possam degradar o serviço
• Mascare tokens ativos, segredos e dados pessoais antes de compartilhar evidências

O que você pode esperar de nós

Confirmaremos seu relatório em 72 horas e seremos transparentes sobre o que encontramos e o que podemos fazer realisticamente. Não tomaremos medidas legais contra pesquisas de boa fé.

Podemos classificar um relatório como confirmado, parcialmente confirmado, informativo ou não reproduzível. Se não validarmos uma parte do relato, explicaremos o motivo.

Somos uma equipe de duas pessoas, então os prazos de remediação dependem da gravidade e complexidade. Problemas críticos sempre recebem atenção imediata. O Hall of Fame é discricionário e costuma ser reservado para relatórios válidos ou materialmente úteis.

Hall of Fame

Esses pesquisadores escolheram ajudar em vez de explorar. Somos gratos.