Segurança e divulgação responsável

Achou uma falha? Conte para nós antes de contar para qualquer outra pessoa.

O nosso compromisso

Se você seguir esta política, nós nos comprometemos a:

• responder ao seu relato em até 5 dias úteis;
• manter você informado do andamento até a correção;
• não tomar nenhuma medida legal contra você pela pesquisa feita dentro das regras abaixo;
• dar crédito público a você, se quiser — ou manter seu anonimato, se preferir.

As regras

Para que o compromisso acima valha, a pesquisa precisa ficar dentro destes limites:

• use apenas contas suas. Não acesse, altere nem baixe dados de outro jogador;
• não degrade o serviço: nada de negação de serviço, força bruta em massa ou envio de spam;
• não faça engenharia social com nossa equipe, nossos parceiros ou nossos jogadores;
• pare assim que confirmar a falha. Não é preciso extrair mais dados para provar que existe;
• não divulgue publicamente antes de a correção sair, ou de 90 dias após o relato — o que vier primeiro;
• não peça pagamento em troca do silêncio. Isso não é pesquisa, é extorsão, e o compromisso acima deixa de valer.

O que mais nos interessa

• acesso a dados ou saldo de outro jogador;
• qualquer caminho que crie, mova ou saque saldo indevidamente;
• falha na lógica dos jogos que altere o resultado ou o valor pago;
• quebra de autenticação, de sessão ou de recuperação de senha;
• execução de código no servidor ou injeção no banco.

O que normalmente não é aceito

Saída de scanner automático sem prova de impacto, ausência de cabeçalhos de segurança sem exploração demonstrada, versões desatualizadas sem vulnerabilidade explorável, e relatos de e-mail (SPF, DMARC) sem impacto prático.

Como relatar

Use o formulário abaixo. Você receberá um código de acompanhamento — guarde-o, é por ele que falamos do seu relato depois.

Este endereço também está publicado em /.well-known/security.txt, no formato do RFC 9116.