Diretrizes para relatar vulnerabilidades

Recompensas por vulnerabilidades

Vulnerabilidades válidas e verificadas dentro do escopo da Airnova podem receber recompensas de 5–1,000 USD.

Risco baixo

Alcance limitado, condições restritas de exploração e pequeno impacto real na segurança.

Risco alto

Pode causar acesso não autorizado, exposição de dados sensíveis ou desvio de permissões importantes, com impacto significativo em usuários ou operações.

Risco crítico

Pode permitir o controle de sistemas centrais, a tomada generalizada de contas, a exposição em grande escala de dados sensíveis ou risco financeiro importante, com alcance amplo ou consequências graves.

O valor é avaliado conforme o impacto real, sem valor fixo por nível de risco. Consideramos o alcance, a facilidade de exploração, as permissões necessárias e o impacto em contas, dados ou fundos; comunicamos o nível e o valor por e-mail.

O nível é definido pela validação, não apenas pelo nome da vulnerabilidade ou pela avaliação de quem a relata. O envio de um relato não confirma, por si só, uma recompensa.

O que recebemos

Recebemos problemas reproduzíveis com impacto real na segurança de produtos e serviços de propriedade ou operação da Airnova.

• O site oficial da Airnova e as APIs e interfaces de contas e pagamentos que operamos.
• Os apps oficiais da Airnova para iOS e Android.

Exemplos: falhas de controle de acesso, tomada de contas, exposição de dados sensíveis, injeção, scripts entre sites e falhas de autorização em pagamentos ou pedidos.

Relate problemas próprios de plataformas de pagamento, operadoras, lojas de apps ou sites externos de compra aos respectivos responsáveis. Recebemos problemas causados pela integração da Airnova. Para pedidos, reembolsos ou conexão, fale com o suporte.

O que incluir no relato

1. Título breve e site, API ou versão do app afetado
2. Data da descoberta, ambiente de teste e pré-requisitos
3. Passos reproduzíveis, comportamento esperado e resultado real
4. Impacto de segurança e evidência mínima ou capturas com dados sensíveis ocultos
5. E-mail para resposta e preferência sobre agradecimento público

Não envie senhas, tokens completos, códigos de ativação de eSIM, credenciais de pagamento ou dados pessoais de terceiros. Se não for possível ocultar os dados com segurança, envie primeiro um resumo para combinar o método de transferência.

Como tratamos os relatos

1. Receber e esclarecer

   Usamos o contato informado e solicitamos mais informações quando necessário.

2. Reproduzir e avaliar

   Verificamos a responsabilidade, as condições de reprodução, o alcance e a gravidade.

3. Corrigir e verificar

   Organizamos as medidas e comunicamos o progresso conforme o risco e a validação.

4. Coordenar a divulgação

   Coordenamos a publicação após uma correção ou mitigação, com agradecimento apenas mediante consentimento.

O prazo depende do impacto e da possibilidade de reprodução. Esta página não promete prazos fixos de resolução.

Colaboração e divulgação

• Use somente suas próprias contas ou ambientes de teste com autorização explícita, realizando o mínimo necessário para demonstrar o problema.
• Evite interromper serviços, destruir dados, praticar engenharia social ou coletar dados em massa. Interrompa o acesso se encontrar dados de outras pessoas.
• Coordene uma correção ou mitigação antes de publicar detalhes que permitam explorar a falha. Esta página não concede permissões adicionais de acesso ou teste.