Segurança no Shipcue
Como comunicar uma vulnerabilidade e o que pode esperar de nós.
Rascunho. Esta política ainda pode mudar antes do lançamento do Shipcue. Última atualização: .
Como comunicar uma vulnerabilidade
Escreva para security@shipcue.app. Inclua:
- o que encontrou e onde (versão da app, endpoint ou ecrã),
- os passos para reproduzir,
- o impacto que espera.
Nunca envie chaves de API (ficheiros .p8), tokens ou outros segredos, nem sequer os seus. Oculte-os nas capturas de ecrã e nos registos.
O que prometemos
- Respondemos no prazo de 5 dias úteis.
- Mantemo-lo informado enquanto corrigimos o problema e avisamos quando estiver resolvido.
- Indicamos o seu nome ao anunciar a correção, se assim o desejar.
- Não tomaremos medidas legais contra investigação de boa-fé que siga esta política.
Pedimos-lhe que
- Teste apenas com as suas próprias contas, chaves e apps.
- Não aceda, altere nem apague dados de outras pessoas. Se lhes tiver acesso por acidente, pare e avise-nos.
- Não faça testes de negação de serviço, spam nem engenharia social contra nós ou contra os nossos utilizadores.
- Dê-nos um prazo razoável para corrigir o problema antes de publicá-lo (sugerimos 90 dias).
O que está no âmbito
- A app Shipcue para iPhone e iPad
- Os nossos endpoints de servidor em shipcue.app
Os serviços da Apple (App Store Connect, APNs) e o RevenueCat estão fora do âmbito; comunique os problemas desses serviços às respetivas empresas.
Phishing
O Shipcue nunca pede uma chave de API, palavra-passe ou início de sessão numa notificação, e as nossas notificações nunca contêm links externos. Se receber uma que contenha, reencaminhe-a para security@shipcue.app.