Segurança e relato de vulnerabilidades

Nossa posição

Acolhemos relatos de vulnerabilidades de pesquisadores de segurança de boa-fé. Para ajudar a manter o HearRelay e seus serviços associados seguros, pedimos que você pratique a divulgação responsável. Esta política define o escopo que pedimos que você respeite e como vamos responder.

Como relatar

Se você encontrar uma vulnerabilidade, escreva para o endereço dedicado que consta no final desta página. Os dados de contato válidos para todo o site também são publicados em /.well-known/security.txt (RFC 9116). Na medida do possível, inclua:

• O recurso, a versão e o sistema operacional afetados
• Os passos para reproduzir (anexe uma prova de conceito, se tiver)
• O impacto esperado
• Como falar com você

No escopo

• O próprio aplicativo iOS / iPadOS HearRelay
• As páginas de conex-cp.com relacionadas ao HearRelay

Fora do escopo

Os itens a seguir estão fora do escopo desta política:

• Engenharia social, invasão física e ataques contra nossa equipe ou parceiros
• Negação de serviço (DoS / DDoS), spam e ataques volumétricos
• Vulnerabilidades na infraestrutura da Apple (App Store, iCloud, o próprio iOS) ou em serviços de terceiros
• Problemas que exigem acesso físico ao próprio dispositivo do usuário e não representam ameaça realista

Porto seguro (safe harbor)

Para pesquisas conduzidas de boa-fé e dentro do escopo desta política, acolhemos o seu trabalho e não tomaremos medidas judiciais com base nessa pesquisa. Ao pesquisar, evite violar a privacidade, destruir ou alterar dados ou interromper o serviço, e não acesse dados de terceiros. Não divulgue uma vulnerabilidade a terceiros antes de termos tido uma oportunidade razoável de corrigi-la (divulgação coordenada).

Como respondemos

• Confirmaremos o recebimento dentro de um prazo razoável.
• Validaremos o relato e priorizaremos uma correção conforme o impacto.
• Compartilharemos o andamento da correção com quem relatou, na medida do possível.
• No momento, não mantemos um programa de recompensa financeira (bug bounty), mas somos gratos pela sua ajuda.

Nota sobre o projeto

O HearRelay é projetado de modo que o áudio nunca é enviado a um servidor, a comunicação entre pares é criptografada de ponta a ponta e as conexões ficam limitadas à mesma rede local (consulte a Política de Privacidade e a página do produto para a intenção de projeto). Observações sobre o projeto também são bem-vindas.