Política de segurança

Como relatar um problema de segurança

Escreva diretamente para nós.

E-mail: security@workoutgen.app

Arquivo RFC 9116: /.well-known/security.txt

Por favor, inclua

• Passos claros para reprodução
• O escopo exato testado (URL, endpoint, fluxo do usuário, tipo de conta, ambiente)
• A data e a hora do teste em UTC
• Um impacto mensurável
• Solicitações e respostas com dados sensíveis removidos, logs ou HAR quando relevante
• Uma prova de conceito ou capturas de tela, se possível
• Para problemas de sessão ou replay, o tempo exato entre as ações e se o problema persiste após uma atualização ou após mais de 60 segundos

Escopo

Esta política cobre workoutgen.app, my.workoutgen.app, api.workoutgen.app, nossos aplicativos para iPhone, Android e Windows e todos os nossos serviços associados. Se você não tiver certeza se algo está no escopo, pergunte primeiro, pois preferimos um alarme falso a deixar passar um problema real.

Relatos que dependem exclusivamente de extensões de navegador, malware local, self-XSS sem limite de privilégio ou comportamento de terceiros sem impacto demonstrado no WorkoutGen geralmente estão fora do escopo.

O que pedimos a você

• Não acesse os dados dos usuários além do estritamente necessário para provar a existência da falha
• Não faça testes de negação de serviço - nossa infraestrutura é enxuta e cada requisição tem um custo
• Sem engenharia social, phishing ou ataques físicos
• Se você encontrar algo sensível por engano, pare e nos avise - manteremos isso confidencial e trabalharemos com você, não contra você
• Por favor, mantenha os testes limitados em ritmo e evite qualquer automatização que possa degradar o serviço
• Por favor, oculte os tokens ativos, segredos e dados pessoais antes de enviar as provas

O que você pode esperar de nós

Confirmaremos o recebimento em até 72 horas e seremos transparentes sobre o que encontrarmos e o que pudermos fazer de forma razoável.

Os prazos de correção dependem da gravidade, da complexidade e da nossa capacidade. Vulnerabilidades de alto impacto são tratadas com prioridade. O Hall of Fame permanece discricionário e reconhece principalmente relatos válidos ou materialmente úteis.

Hall of Fame

Esses pesquisadores escolheram ajudar em vez de explorar. Somos muito gratos a eles.