Política de divulgação de vulnerabilidades

• Este site, earbunny.app, e os subdomínios que operamos.
• O painel web dos pais.
• Nossa API, como usada pelos apps e pelo painel web.
• O app para iOS, incluindo o app para Apple Watch e os widgets.

• Ataques de negação de serviço e testes de carga ou de estresse.
• Engenharia social ou phishing contra a nossa equipe, os nossos usuários ou os nossos fornecedores.
• Ataques físicos a escritórios, data centers ou aparelhos.
• Spam, ou o envio de muitas mensagens pelo formulário de contato ou pelo cadastro.
• Serviços operados por terceiros (por exemplo, a App Store, a Cloudflare, a Vercel ou o Sentry). Relate esses problemas diretamente ao fornecedor.
• Relatos de scanners automáticos sem um impacto demonstrado e explorável.

• Use contas de teste criadas por você. Se precisar de uma segunda família para testar as regras de acesso, crie uma segunda família de teste.
• Não acesse, altere nem apague dados de outras pessoas. Se chegar aos dados de alguém por acidente, pare, guarde apenas o necessário para comprovar o problema e avise a gente.
• Nada de testes destrutivos: não degrade nossos serviços, não apague dados e não deixe alterações permanentes.
• Mantenha os detalhes em sigilo até corrigirmos o problema e combinarmos a divulgação com você.
• Aja de boa-fé e dentro da lei.

Escreva para security [at] earbunny.app. Inclua, por favor:

• O que você encontrou e onde (URL, endpoint ou tela do app, versão do app).
• O passo a passo para reproduzir o problema, com capturas de tela ou um vídeo curto, se ajudar.
• O impacto que você acredita que ele tem.
• Como podemos falar com você, e se você gostaria de receber um agradecimento com o seu nome.

Ainda não oferecemos e-mail criptografado (PGP). Não envie dados pessoais de outras pessoas; se precisar compartilhar algo sensível, descreva o que é e combinaremos uma forma segura de fazer a troca.

• Confirmamos o recebimento do seu relato em até 3 dias úteis.
• Fazemos a triagem e enviamos nossa avaliação em até 10 dias úteis.
• Mantemos você informado até o problema ser corrigido, e avisamos quando isso acontecer.
• Damos o crédito a você, se quiser, assim que a correção for publicada.

Ainda não temos um programa de recompensas pagas (bug bounty). Somos uma equipe pequena e preferimos dizer isso a prometer algo que não conseguimos cumprir. Com a sua permissão, listamos nesta página, em um mural de agradecimentos, os pesquisadores que nos ajudaram.

Nossos dados de contato e esta política também estão publicados em formato legível por máquina em /.well-known/security.txt. Para uma visão geral de como protegemos os dados, veja Segurança.