Segurança no Shipcue
Como relatar uma vulnerabilidade e o que você pode esperar de nós.
Rascunho. Esta política ainda pode mudar antes do lançamento do Shipcue. Última atualização: .
Como relatar uma vulnerabilidade
Escreva para security@shipcue.app. Inclua:
- o que você encontrou e onde (versão do app, endpoint ou tela),
- os passos para reproduzir,
- o impacto que você espera.
Nunca envie chaves de API (arquivos .p8), tokens ou outros segredos, nem os seus. Oculte-os em capturas de tela e logs.
O que prometemos
- Respondemos em até 5 dias úteis.
- Mantemos você informado enquanto corrigimos o problema e avisamos quando ele for resolvido.
- Citamos o seu nome ao anunciar a correção, se você quiser.
- Não tomaremos medidas legais contra pesquisas de boa-fé que sigam esta política.
Pedimos que
- Teste apenas com as suas próprias contas, chaves e apps.
- Não acesse, altere nem exclua dados de outras pessoas. Se chegar a eles por acidente, pare e nos avise.
- Não faça testes de negação de serviço, spam nem engenharia social contra nós ou contra os nossos usuários.
- Dê-nos um prazo razoável para corrigir o problema antes de publicá-lo (sugerimos 90 dias).
O que está no escopo
- O app Shipcue para iPhone e iPad
- Os nossos endpoints de servidor em shipcue.app
Os serviços da Apple (App Store Connect, APNs) e o RevenueCat estão fora do escopo; relate problemas com eles às respectivas empresas.
Phishing
O Shipcue nunca pede uma chave de API, senha ou login em uma notificação, e as nossas notificações nunca trazem links externos. Se você receber uma que traga, encaminhe-a para security@shipcue.app.